Truecrypt: Sicherheitslücken in Open-Source-Verschlüsselung
Truecrypt wurde im vergangenen Jahr unter rätselhaften Umständen eingestellt. Jetzt sind neue kritische Sicherheitslücken bekanntgeworden. Das Nachfolgeprojekt Veracrypt hat bereits einen Patch veröffentlicht.

Die von Truecrypt installierten Windows-Treiber enthalten kritische Sicherheitslücken. Das hat James Forshaw von Googles Projekt Zero bekanntgegeben. Truecrypt wird seit dem vergangenen Jahr nicht mehr gepflegt - für den Fork Veracrypt ist jedoch bereits ein Patch verfügbar.
Die Sicherheitslücken ermöglichen die Ausführung von Code mit höheren Rechten als die des eigentlichen Nutzers (privilege escalation). Weitere Details zu der Sicherheitslücke wurden noch nicht veröffentlicht - Forshaw möchte damit bis sieben Tage nach Veröffentlichung des Patches warten. Dementsprechend führen die Bugreports zu CVE-2015-7358 und CVE-2015-7359 derzeit noch auf eine 403-Seite.
Im vergangenen Jahr finanzierten Nutzer per Crowdfunding einen professionellen Code-Audit von Truecrypt. Die jetzt vorgestellten Lücken wurden dabei offensichtlich übersehen. Dieser Audit wurde durchgeführt, auch nachdem das Projektteam das Aus von Truecrypt bekanntgegeben hatte. Die Macher empfahlen damals, auf Alternativen wie Microsofts Bitlocker umzusteigen.
Genaue Gründe für das Aus bis heute unklar
Die genauen Gründe für das Aus des Projekts sind bis heute nicht bekannt. Vermutungen, dass die Truecrypt-Macher von Geheimdiensten gezwungen wurden, Hintertüren in die Verschlüsselung einzubauen, haben sich nicht bestätigt. Auf der ehemaligen Projektseite von Truecrypt wird angegeben, dass das Aus des Projekts zeitgleich mit dem Auslaufen des Supports für Windows-XP komme - weil es jetzt Alternativen für alle Nutzer gäbe.
Der Truecrypt-Fork Veracrypt hat mit der Version 1.15 bereits einen Patch zur Verfügung gestellt.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Es wurden am Anfang des Jahres über Forks geschrieben. https://www.golem.de/news...
Die Formulierung suggeriert es aber. Genauso hätte man ausch schreiben können dass die...
Ich habe VeraCrypt vor ca. einem Jahr mal getestet, nachdem TC aufgegeben wurde. Damals...
Nunja, wenn man überlegt was mit der Lücke zur Erweiterung von Rechten angestellt werden...