Truecrypt: Bislang keine Hintertüren gefunden
Ein jetzt veröffentlichter Untersuchungsbericht(öffnet im neuen Fenster) findet keine nennenswerten Auffälligkeiten in dem Bootloader und dem Windows-Kernel-Treiber der Verschlüsselungssoftware Truecrypt. Die Überprüfung war unter anderem von Matthew Green initiiert worden. Green ist Kryptographieprofessor an der Johns Hopkins University.
Zwar ist Truecrypt Open Source und der Quellcode verfügbar, die Entwickler, die auch Binärdateien erstellen, sind aber anonym. Deshalb sorgte sich Green um die Vertraulichkeit der Verschlüsselungssoftware und sammelte zusammen mit dem Sicherheitsforscher Kenn White Spenden, um die Software zu überprüfen.
Die dafür gegründete gemeinnützige Organisation Open Crypto Audit Projekt(öffnet im neuen Fenster) nutzte die Spendengelder von insgesamt 80.000 US-Dollar und beauftragte die Sicherheitsfirma iSEC mit der Überprüfung des Quellcodes. Zunächst untersuchte iSEC den Bootloader und den Windows-Kernel-Treiber auf mögliche Hintertüren.
Keine Hintertüren, aber kein guter Code
Backdoors wurden laut Bericht nicht gefunden. Es gebe nur einige wenige Fehler, die aber nicht gravierend seien, heißt es in dem PDF-Dokument. Eine potenzielle Schwachstelle fand iSEC in den Sicherheitschecks der Volume Headers. Außerdem stellten sie die Frage, warum Truecrypt XTS2 statt Hashes oder HMAC verwende.
Allerdings entspreche der gesamte Code nicht den Qualitätsnormen für Sicherheitssoftware. Es fehlten beispielsweise Kommentare, und der Code enthalte teils unsichere Funktionen oder inkonsistente Variablen-Typen. Die Dokumentation sei hingegen vorbildlich.
Noch ist die Überprüfung nicht abgeschlossen. In einem nächsten Test sollen die Verschlüsselungsmechanismen von Truecrypt überprüft werden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.