Truecrypt: Sicherheitslücken in Open-Source-Verschlüsselung

Truecrypt wurde im vergangenen Jahr unter rätselhaften Umständen eingestellt. Jetzt sind neue kritische Sicherheitslücken bekanntgeworden. Das Nachfolgeprojekt Veracrypt hat bereits einen Patch veröffentlicht.

Artikel veröffentlicht am 30. September 2015, 10:43 Uhr, Hauke Gierow

Truecrypt enthält weitere kritische Sicherheitslücken. (Bild: Open Crypto Audit/Screenshot)

Die von Truecrypt installierten Windows-Treiber enthalten kritische Sicherheitslücken. Das hat James Forshaw von Googles Projekt Zero bekanntgegeben. Truecrypt wird seit dem vergangenen Jahr nicht mehr gepflegt - für den Fork Veracrypt ist jedoch bereits ein Patch verfügbar.

Die Sicherheitslücken ermöglichen die Ausführung von Code mit höheren Rechten als die des eigentlichen Nutzers (privilege escalation). Weitere Details zu der Sicherheitslücke wurden noch nicht veröffentlicht - Forshaw möchte damit bis sieben Tage nach Veröffentlichung des Patches warten. Dementsprechend führen die Bugreports zu CVE-2015-7358 und CVE-2015-7359 derzeit noch auf eine 403-Seite.

Im vergangenen Jahr finanzierten Nutzer per Crowdfunding einen professionellen Code-Audit von Truecrypt. Die jetzt vorgestellten Lücken wurden dabei offensichtlich übersehen. Dieser Audit wurde durchgeführt, auch nachdem das Projektteam das Aus von Truecrypt bekanntgegeben hatte. Die Macher empfahlen damals, auf Alternativen wie Microsofts Bitlocker umzusteigen.

Genaue Gründe für das Aus bis heute unklar

Die genauen Gründe für das Aus des Projekts sind bis heute nicht bekannt. Vermutungen, dass die Truecrypt-Macher von Geheimdiensten gezwungen wurden, Hintertüren in die Verschlüsselung einzubauen, haben sich nicht bestätigt. Auf der ehemaligen Projektseite von Truecrypt wird angegeben, dass das Aus des Projekts zeitgleich mit dem Auslaufen des Supports für Windows-XP komme - weil es jetzt Alternativen für alle Nutzer gäbe.

Der Truecrypt-Fork Veracrypt hat mit der Version 1.15 bereits einen Patch zur Verfügung gestellt.