Abo
  • Services:
Anzeige
Eine schwerwiegende Sicherheitslücke in Veracrypt wurde gepatcht.
Eine schwerwiegende Sicherheitslücke in Veracrypt wurde gepatcht. (Bild: Open Crypto Audit/Screenshot)

Veracrypt und Truecrypt: Hidden-Volumes sind nicht versteckt

Eine schwerwiegende Sicherheitslücke in Veracrypt wurde gepatcht.
Eine schwerwiegende Sicherheitslücke in Veracrypt wurde gepatcht. (Bild: Open Crypto Audit/Screenshot)

Eine kritische Sicherheitslücke in Veracrypt und Truecrypt ermöglicht Angreifern, die Existenz eines Hidden-Volumes zu beweisen. Ein Patch ist verfügbar, Nutzer müssen jedoch aktiv werden.

Entwickler Mounir Idrassi hat einen schwerwiegenden Bug in Veracrypt bestätigt, der noch aus dem Truecrypt-Code stammt und Angreifern ermöglicht, eigentlich versteckte Volumes zu entdecken.

Anzeige

Mit dem Konzept soll Nutzern "Plausible Deniability" ermöglicht werden, die Existenz weiterer verschlüsselter Daten soll damit verneint werden können. Dazu werden zwei Container erstellt, wobei der zweite innerhalb des ersten liegt. Beide Container verwenden unterschiedliche Passphrasen. Mit dem Konzept soll es ermöglicht werden, dass Nutzer unter Zwang ihr Passwort zu einem der Container herausgeben können, ohne ihre wichtigen Daten zu kompromittieren. Nach Angaben von Idrassi können Angreifer durch den Bug aber sehen, ob ein solches verstecktes Volume existiert oder nicht. Ein Update soll das Problem beheben, alte Volumes müssen aber in jedem Fall neu erzeugt werden.

Der Fehler wurde von Ivanov Aleksey gefunden. Er sei in der Lage, die versteckten Volumes in fast 100 Prozent der Fälle zu erkennen. Wie genau er diese findet, wollte er auch dem Veracrypt-Entwickler Idrassi nach dessen Angaben nicht mitteilen. Idrassi fand das Problem dann aber selbst: Normale Volumes enthalten einen Header und einige zufällige Daten. Volumes mit einer geheimen Instanz hingegen haben zwei Header und zufällige Daten. Diese Header sind zwar verschlüsselt, Angreifer könnten aber in der Lage sein, zwischen normalen und versteckten Volumes zu unterscheiden.

Fake-Header soll das Problem beheben

Mit Veracrypt ab Version 1.18a soll das Problem gelöst werden, indem bei jedem Volume der normale Header und ein Fake-Header mit zufällig generiertem Masterkey erstellt werden, wenn kein Hidden Volume vorhanden ist. Für Angreifer ließe sich so nicht beweisen, dass es tatsächlich einen zweiten Container gibt, heißt es im Veracrypt-Forum.

Wer auf den zusätzlichen Schutz von Hidden Volumes angewiesen ist, muss neue Container erzeugen - bestehende Dateien können nicht auf den neuesten Stand gebracht werden. Betroffen sind auch alle Container, die mit früheren Truecrypt-Versionen erstellt wurden, alle unterstützten Betriebssystemversionen sind ebenfalls betroffen.

Das Release auf Version 1.18a enthält einige weitere Verbesserungen und Bugfixes: In Windows soll die Verschlüsselung der Systempartition jetzt auch in Verbindung mit EFI möglich sein, außerdem wurde die Installationsdatei gegen DLL-Hijacking abgesichert.

Der Code von Veracrypt wird derzeit einem Audit unterzogen, die Ergebnisse sollen im September vorliegen.


eye home zur Startseite
Mingfu 23. Aug 2016

Das ist uns schon klar, dass das so sein sollte. Nur behaupten die gerade das Gegenteil...

M. 23. Aug 2016

Nein. Das versteckte Volume liegt im freien Speicherplatz des aeusseren Volumes, der...

M. 23. Aug 2016

Nein. Der versteckte Container befindet sich im freien Speicherplatz des aeusseren...

honk 23. Aug 2016

der freie Speicherplatz in einem Container ist mit zufallszahlen belegt - oder eben mit...

plutoniumsulfat 22. Aug 2016

Du meinst Truecrypt ;)



Anzeige

Stellenmarkt
  1. [bu:st] GmbH, München
  2. EidosMedia GmbH, Frankfurt am Main
  3. Schwarz Business IT GmbH & Co. KG, Neckarsulm
  4. Laureate Germany Holding GmbH, Berlin, Iserlohn oder Hamburg


Anzeige
Top-Angebote
  1. 199,99€ statt 479,99€ - Ersparnis rund 58%
  2. für 1,99€ bei Amazon Video in HD leihen (Blu-ray-Preis 14,99€)
  3. 49,99€

Folgen Sie uns
       


  1. Für Lokalsender

    Kabelnetzbetreiber wollen 250 Millionen Euro Rundfunkgebühr

  2. Linux-Kernel-Security

    Torvalds bezeichnet Grsecurity als "Müll"

  3. Zolo Liberty Plus

    Drahtlose Ohrstöpsel auf Kickstarter für nur 100 US-Dollar

  4. Eckpunkte

    Bundesnetzagentur sieht 5G bei 2 GHz und 3.400 bis 3.700 MHz

  5. Internet sofort

    Das Warten auf den Festnetzanschluss kann teuer werden

  6. Ransomware

    Petya-Kampagne nutzt Lücke in Buchhaltungssoftware

  7. 10 GBit/s

    Erste 5G-Endgeräte sind noch einen Kubikmeter groß

  8. Engine

    Unity will Kamerafahrten fast automatisch generieren

  9. Grafikkarte

    Radeon Vega FE kostet 1.000 US-Dollar

  10. Nach Gerichtsurteil

    Bundesnetzagentur setzt Vorratsdatenspeicherung aus



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Dirt 4 im Test: Vom Fahrschüler zum Rallye-Weltmeister
Dirt 4 im Test
Vom Fahrschüler zum Rallye-Weltmeister

Mesh- und Bridge-Systeme in der Praxis: Mehr WLAN-Access-Points, mehr Spaß
Mesh- und Bridge-Systeme in der Praxis
Mehr WLAN-Access-Points, mehr Spaß
  1. Aruba HPE Indoor-Tracking leicht gemacht
  2. Eero 2.0 Neues Mesh-WLAN-System kann sich auch per Kabel vernetzen
  3. BVG Fast alle Berliner U-Bahnhöfe haben offenes WLAN

Mobile-Games-Auslese: Ninjas, Pyramiden und epische kleine Kämpfe
Mobile-Games-Auslese
Ninjas, Pyramiden und epische kleine Kämpfe
  1. Ubisoft Chaoshasen, Weltraumaffen und die alten Ägypter
  2. Monument Valley 2 im Test Rätselspiel mit viel Atmosphäre und mehr Vielfalt
  3. Mobile-Games-Auslese Weltraumkartoffel und Bilderbuchwanderung für mobile Spieler

  1. Re: Hier ebenfalls! Weiter so!

    Muhaha | 15:48

  2. Re: Bin nur ich so dumm, ...

    Milber | 15:47

  3. Re: Alternative

    Fonsis | 15:47

  4. Re: Der Nutzen der umstrittenen Technologie sei...

    elgooG | 15:46

  5. Re: Die Aussage mit dem Vier-Personen-Haushalt...

    plutoniumsulfat | 15:46


  1. 14:54

  2. 14:39

  3. 14:13

  4. 13:22

  5. 12:03

  6. 11:59

  7. 11:45

  8. 11:35


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel