• IT-Karriere:
  • Services:

Truecrypt-Entwicklung plötzlich mit Verweis auf Sicherheitsprobleme beendet

Einige Zeit später nahm die Geschichte eine unerwartete Wendung - die Entwickler von Truecrypt stellten plötzlich die Entwicklung ein und veröffentlichten eine Warnung auf ihrer Webseite: Truecrypt sei unsicher, es gebe möglicherweise ungefixte Sicherheitsprobleme. Eine weitere Erklärung gab es nicht, die Truecrypt-Entwickler verwiesen darauf, dass Nutzer stattdessen die Bitlocker-Verschlüsselung von Windows nutzen könnten.

Stellenmarkt
  1. Hays AG, Berlin
  2. Haufe Group, Hannover, Freiburg

2015 wurde der finale Bericht des Open Crypto Audit Project veröffentlicht - größere Schwächen fanden sich im Code von Truecrypt nicht, aber einige Kleinigkeiten. So fanden die von Green und White beauftragten Sicherheitsexperten der Firma NCC heraus, dass die AES-Implementierung Seitenkanalangriffe ermöglicht - eine Erkenntnis, die auch im BSI-Audit auftaucht. Wenig später fand ein Mitarbeiter von Googles Project Zero weitere Sicherheitslücken in Truecrypt.

Nachfolger Veracrypt wird weiterentwickelt

Da es von Truecrypt keine neueren Versionen mehr gibt, ist die Software für all diese Schwächen weiterhin anfällig. Ein Fork von Truecrypt wird allerdings unter dem Namen Veracrypt weiterentwickelt. Die gefundenen Schwächen wurden dort behoben, auch wurde Veracrypt später einem weiteren Audit unterzogen.

All das wusste das BSI. Als Reaktion gab das BSI selbst eine weitere Sicherheitsanalyse von Truecrypt in Auftrag, die sich in großen Teilen auf das Open Crypto Audit Project bezieht. Diese Analyse kann man auf der Webseite des BSI herunterladen. Vom älteren und deutlich ausführlicheren Audit aus dem Jahr 2010 findet sich darin jedoch kein Wort.

Golem Akademie
  1. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
  2. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

Das BSI erklärte auf Anfrage, dass der Audit 2010 im Rahmen des sogenannten IT-Investitionsprogramms zur Modernisierung der Informations- und Kommunikationstechnik der Verwaltung durchgeführt wurde. "Der Zweck des Audits war, Sicherheitserkenntnisse über Truecrypt zu gewinnen. Die Ergebnisse wurden dem damaligen Herausgeber, der Truecrypt Foundation, mitgeteilt", schreibt ein Sprecher des BSI. Die Truecrypt Foundation habe aber mitgeteilt, dass die Ergebnisse für sie nicht relevant seien.

"Die Ergebnisdokumente des Audits aus dem Jahre 2010 waren nicht zur Veröffentlichung vorgesehen und bezogen sich auf die Vorgängerversion Truecrypt 7.0", begründet das BSI die Nichtveröffentlichung.

Veracrypt-Chefentwickler Mounir Idrassi bestätigte auf Anfrage von Golem.de, dass er vom Sicherheitsaudit des BSI noch nie gehört habe. Dass die Ergebnisse mit Veracrypt nicht geteilt wurden, begründet das BSI so: "Das Projekt des IT-Investitionsprogramms wurde im Jahre 2011 abgeschlossen, also lange vor der Gründung von Veracrypt im Jahre 2015."

Im BSI-Audit aus dem Jahr 2010 werden zunächst ausführlich die Architektur von Truecrypt und die Unterschiede der verschiedenen Betriebssystemversionen für Windows und Linux beschrieben. Die Version für Mac OS X schien das BSI dabei weniger zu interessieren, sie kommt in den Dokumenten nur am Rande vor.

Buffer Overflow mit geringem Risiko

Eine der konkret beschriebenen Sicherheitslücken ist ein möglicher Buffer Overflow in einer Funktion, die zum Ausführen externer Programme genutzt wird. Diese Funktion namens Process::Execute nimmt dabei als Parameter einen Programmnamen und einen Array von Kommandozeilenoptionen. Diese werden anschließend in einen 32 Elemente großen Array kopiert, als letzter Wert wird ein Null-Pointer hinzugefügt.

Ein Check prüft dabei, ob zu viele Kommandozeilenoptionen übergeben wurden, dabei wurde aber der abschließende Nullpointer nicht berücksichtigt. Wenn man genau 31 Kommandozeilenoptionen übergibt, kommt es zu einem Buffer Overflow. Dieser Fehler war bis vor kurzem im Code von Veracrypt vorhanden. Wir haben den Entwicklern von Veracrypt einen Patch für diesen Fehler geschickt, der inzwischen übernommen wurde.

Das praktische Risiko ist vermutlich eher gering: Es ist unwahrscheinlich, dass der Veracrypt-Code tatsächlich ein Programm mit so vielen Kommandozeilenoptionen aufruft - und selbst dann hat ein Angreifer kaum Kontrolle über den verwendeten Speicher.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Verschlüsselungssoftware: BSI verschweigt Truecrypt-SicherheitsproblemeFehlendes Kapitel über Off-by-One-Overflows 
  1.  
  2. 1
  3. 2
  4. 3
  5.  


Anzeige
Top-Angebote
  1. 229,99€ + Versand (Vergleichspreis ca. 300€)
  2. 399€ (Vergleichspreis 419€)
  3. (u. a. LG OLED77CX6LA 77 Zoll OLED für 2.899€, LG 43UP75009LF 43 Zoll LCD für 399€)

nirgendwer 21. Dez 2019

So pauschal kann man das nicht sagen. Was für Weisungen sind es denn? Nur...

OwenBurnett 19. Dez 2019

Das ist wirklich unangebrachter Fatalismus. Nur weil man mit Windows 10 in der Standrad...

narfomat 17. Dez 2019

klingt alles richtig interessant, aber bevor ich nicht einen PRAKTISCHEN BEWEIS habe, das...

gadthrawn 17. Dez 2019

Man muss nicht schlampen und jeder Consumer-Software ist per Definition unsicher. Ein...

Vögelchen 17. Dez 2019

Manche gedanklichen Schnellschüsse sind schon bemerkenswert. Open Source ist kein...


Folgen Sie uns
       


Honda E Probe gefahren

Der Honda E ist ein Elektro-Kleinwagen, dessen Design an alte Honda-Modelle aus den 1970er Jahren erinnert.

Honda E Probe gefahren Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /