it-swarm.com.de

Ist TrueCrypt jetzt nicht sicher und sollte ich es nicht mehr verwenden?

Die offizielle TrueCrypt-Webseite heißt jetzt:

WARNUNG: Die Verwendung von TrueCrypt ist nicht sicher, da es möglicherweise nicht behobene Sicherheitsprobleme enthält

Diese Seite dient nur zur Migration vorhandener Daten, die von TrueCrypt verschlüsselt wurden.

Die Entwicklung von TrueCrypt wurde 5/2014 beendet, nachdem Microsoft die Unterstützung von Windows XP eingestellt hatte. Windows 8/7/Vista und höher bieten integrierte Unterstützung für verschlüsselte Festplatten und Images von virtuellen Festplatten. Diese integrierte Unterstützung ist auch auf anderen Plattformen verfügbar (klicken Sie hier, um weitere Informationen zu erhalten). Sie sollten alle von TrueCrypt verschlüsselten Daten auf verschlüsselte Festplatten oder Images virtueller Festplatten migrieren, die auf Ihrer Plattform unterstützt werden.

mit detaillierten Anweisungen zur Migration auf BitLocker weiter unten.

Ist es eine offizielle Ankündigung oder nur eine knifflige Verunstaltungsangriff ?

88
user11153

Zu diesem Zeitpunkt ist es noch unklar. Spekulationen darüber, ob es sich um eine Verunstaltung oder eine offizielle Pensionierung handelt, sind weit verbreitet.

Es ist jedoch bemerkenswert, dass die neueste Version von TrueCrypt (vor der jetzt veröffentlichten Version 7.2) älter als zwei Jahre ist. Es wurden auch keine offensichtlichen Anstrengungen unternommen, um die Verschlüsselung der gesamten Festplatte unter Windows 8 zu unterstützen, die sogar älter als TrueCrypt 7.1a ist, wenn Sie in den öffentlich verfügbaren Vorabversionen der ersteren mitzählen.

Viele Windows 8-Benutzer, die sich früher auf TrueCrypt verlassen haben, sind wahrscheinlich bereits für die Verschlüsselung der gesamten Festplatte auf Bitlocker migriert. Daher ist das Verschieben der restlichen TrueCrypt-geschützten Daten (sofern noch nicht geschehen) ohnehin ein logischer nächster Schritt. Für alle anderen wäre es wahrscheinlich besser zu warten, bis das ganze Durcheinander beseitigt ist.

In der ersten Phase des TrueCrypt-Audits , die den Bootloader und die Windows-Kerneltreiber abdeckte, wurden weniger als ein Dutzend Sicherheitslücken gefunden, von denen die schlimmsten als "mittel" eingestuft wurden. Der Bericht sagte auch, dass der Quellcode "nicht den erwarteten Standards für sicheren Code entsprach".

Eine ihrer Empfehlungen erwähnte:

Aufgrund laxer Qualitätsstandards ist es schwierig, die TrueCrypt-Quelle zu überprüfen und zu warten. Dies wird es schwieriger machen, zukünftige Fehler zu finden und zu korrigieren.

In einem weiteren Hinweis heißt es:

Die derzeit erforderliche Windows-Build-Umgebung hängt von veralteten Build-Tools und Softwarepaketen ab, die aus vertrauenswürdigen Quellen nur schwer erhältlich sind

All dies, zusammen mit dem zweijährigen Ablauf neuer Versionen und dem Mangel an vollständiger Unterstützung für die neuesten Betriebssysteme, lässt den einfachen Glauben zu, dass das TrueCrypt-Team tatsächlich das Handtuch werfen könnte. Wenn sie sich dazu entschließen würden, würde TrueCrypt tatsächlich genauso unsicher werden wie Windows XP jetzt ist - neu entdeckte Sicherheitslücken würden nicht gepatcht. Ein wesentlicher Unterschied zwischen TrueCrypt und Windows XP ist jedoch, dass kompatible Alternativen möglicherweise noch entwickelt und aktualisiert werden, da TrueCrypt Open-Source-Software ist.

Dennoch ist die sehr plötzliche und unerwartete Ankündigung definitiv eine gewisse Skepsis wert. Bis zur weiteren Validierung der Nachrichten würde ich vorschlagen, dass Sie nichts vertrauen, was auf der TrueCrypt-Website oder auf der SourceForge-Seite veröffentlicht wurde - insbesondere nicht dem neuen "7.2" -Download.


Update: 29.05.2014 0645Z

Brian Krebs hat über das Problem berichtet und einige fundierte Gründe angegeben, warum dies wahrscheinlich kein Scherz ist. Darüber hinaus erwähnt er, dass die Personen hinter IsTrueCryptAuditedYet.com ihre Arbeit trotz des aktuellen Status des Softwareprojekts fortsetzen werden.

Spekulationen sind online natürlich immer noch weit verbreitet. Die fortgesetzte Anonymität des TrueCrypt-Entwicklungsteams macht jedoch eine unbestreitbare authentische Bestätigung ihres Status nahezu unmöglich. Matthew Green machte in diesem Tweet einen fairen Punkt:

Aber mehr auf den Punkt gebracht, wenn der Truecrypt-Signaturschlüssel gestohlen wurde und die TC-Entwickler uns nicht informieren können - das ist Grund genug, vorsichtig zu sein.

Unabhängig vom Status des Signaturschlüssels sollte die Tatsache, dass die TrueCrypt-Entwickler keine separate und maßgebliche Mitteilung zur Überprüfung der Ereignisse auf ihrer Website erstellen können (oder zumindest bisher noch nicht einmal unternommen haben) genug, um erhebliche Besorgnis zu erregen. Wenn das TrueCrypt-Team es beendet, ist es Zeit, weiterzumachen und Alternativen zu finden/zu finden. Wenn nicht, wirft ihre mangelnde Out-of-Band-Reaktion auf diesen Vorfall (mehr denn je) ernsthafte Fragen auf, wie sehr wir ihnen wirklich vertrauen können, um die Art von Software zu pflegen, der wir unsere wertvollsten Geheimnisse anvertrauen möchten.

Unabhängig vom Status ist es wahrscheinlich am besten, nach alternativen Lösungen zu suchen. Die Empfehlungen auf der TrueCrypt-Site sind im Allgemeinen nicht schlecht. Sie verfehlen jedoch einige Funktionen, für die TrueCrypt bekannt und beliebt war:

  • Plattformübergreifende Kompatibilität
  • Plausible Leugnung
  • Versteckte Partitionen
  • Verschlüsselte Containerdateien (Sie können dies mit Bitlocker und VHDs tun, aber es ist bei weitem nicht so reibungslos und nahtlos wie mit TrueCrypt)

Update: 29.05.2014 1450Z

Jack Daniel hat meine Gefühle zu diesem Thema jetzt in einem aktuellen Tweet ziemlich gut zusammengefasst:

Also, ja: Hack, Troll, Ragequit, was auch immer - Stille bedeutet, dass TrueCrypt org nicht vertrauenswürdig ist, TrueCrypt auch nicht. Verdammt.


Update: 2014-05-30 1545Z

GRC hat Behauptungen veröffentlicht, von denen die TrueCrypt-Entwickler über Steven Barnhart gehört wurden.

https://www.grc.com/misc/truecrypt/truecrypt.htm

Wenn man der Quelle glauben kann (wiederum macht die öffentliche Anonymität des TrueCrypt-Entwicklungsteams eine bestimmte Authentifizierung nahezu unmöglich), wird TrueCrypt vom ursprünglichen Team tatsächlich nicht mehr aktiv bearbeitet. Darüber hinaus verhindert die Lizenz, dass andere Personen legitimerweise eine neue "TrueCrypt" schreiben dürfen (obwohl es möglich ist, dass sie diese unter einem anderen Namen abspalten können).

Eine wichtige Sache, die zu beachten ist, obwohl GRC vielleicht etwas zu dramatisch ist und sogar seinen Wert überbewertet, ist, dass die neueste voll funktionsfähige Version von TrueCrypt (7.1a) is - nach allgemeinem Wissen - immer noch "sicher" zu bedienen. Bis signifikante und ausnutzbare Sicherheitslücken entdeckt werden, gibt es wirklich keinen Grund, 7.1a zum Zeitpunkt der Ankündigung von truecrypt.org als von Natur aus "unsicherer" zu betrachten als jemals zuvor.

Allerdings muss man auch bedenken (wie bereits in diesem Beitrag erwähnt), dass entdeckte Schwachstellen in TrueCrypt 7.1a nicht In zukünftigen Versionen behoben werden. Daher ist es immer noch ratsam, nach anderen Alternativen zu suchen. Hier gilt das Gleiche wie für Windows XP - der einzige wesentliche Unterschied besteht darin, dass XP ein viel höheres Profil hat und sehr wahrscheinlich sehr lange anfallen wird Liste der nicht patchenbaren Schwachstellen (einige existieren wahrscheinlich bereits) viel schneller.

Das Open Crypto Audit Project hat einen Link zu einem "vertrauenswürdigen Archiv" von TrueCrypt-Versionen getwittert , wenn ältere Kopien nicht mehr verfügbar sind auf truecrypt.org:

https://github.com/DrWhax/truecrypt-archive

Vielen Dank an @ Xander für den Hinweis auf den GRC-Artikel.

47
Iszi

Bezeichnenderweise wurde TrueCrypt Version 7.2 mit dem offiziellen privaten TrueCrypt-Signaturschlüssel zertifiziert. Dies deutete darauf hin, dass die Seitenwarnung, dass TrueCrypt nicht sicher ist, kein Scherz war, der von Hackern gepostet wurde, die es geschafft haben, nicht autorisierten Zugriff zu erhalten. Schließlich würde jemand mit der Fähigkeit, neue TrueCrypt-Versionen zu signieren, diesen Hack wahrscheinlich nicht mit einem Streich verschwenden. Alternativ schlägt der Beitrag vor, dass der kryptografische Schlüssel, der die Authentizität der App bestätigt, kompromittiert wurde und nicht mehr der ausschließlichen Kontrolle der offiziellen TrueCrypt-Entwickler unterliegt. ArsTechnica-Geschichte

Obwohl es sicherlich dramatisch ist, wäre Nice vom TrueCrypt-Team etwas sicherer, was los ist. Dieser Mangel an vernünftiger Bestätigung durch Personen, die nachweislich mit TrueCrypt verbunden sind, stärkt die Defacement-Theorie.

EDIT: In der Hacker News Diskussion behauptet dieses Poster, dass die Schlüssel erst 3 Stunden vor der Unterzeichnung der neuen Version aktualisiert wurden.

Gleicher Schlüssel wie die vorherigen Binärdateien? Ich bezweifle es, da die Schlüssel nur 3 Stunden vor der Veröffentlichung der neuen Binärdateien ersetzt wurden

EDIT2: A SourceForge-Vertreter sagt:

Bereitstellung einiger Details von SourceForge:

  1. Wir hatten keinen Kontakt zum TrueCrypt-Projektteam (und daher keine Beschwerden).

  2. Wir sehen keinen Indikator für einen Kontokompromiss. Die aktuelle Nutzung stimmt mit der früheren Nutzung überein.

  3. Unsere jüngste erzwungene Kennwortänderung durch SourceForge wurde durch Infrastrukturverbesserungen ausgelöst, die keinen Kompromiss darstellten. FMI siehe http://sourceforge.net/blog/forced-password-change/

14
JoltColaOfEvil

Vor dieser Änderung gab es auf ihrer Website einen öffentlichen GPG-Schlüssel. Wenn dies echt wäre, würde ich sagen, dass sie zumindest die Nachricht unterschrieben hätten.

Außerdem ist Truecrypt ein Open-Source-Projekt, daher gibt es keine Möglichkeit, dass die Entwicklung eingestellt wurde. Jeder kann die Entwicklung fortsetzen oder Fehler beheben. Viele freie und Open-Source-Software wird größtenteils von einer Community verwaltet.

Ich sehe nicht, wie diese Ankündigung in irgendeiner Weise Sinn macht. Der Autor könnte Leute zu Bitlocker locken und dann einen Fehler in Bitlocker ausnutzen, obwohl er sehr weit hergeholt scheint, da er nicht remote/massenausnutzbar ist. Oder er wollte sich nur wegen schlechten Blutes mit Benutzern anlegen (vorausgesetzt, er war Entwickler und hatte dadurch Zugriff auf die Website).

Bei historischen DNS-Einträgen scheint sich die IP-Adresse nicht geändert zu haben. Zumindest ist es kein weiterer DNS-Hijack.

Bearbeiten: Ich habe gerade gelesen, dass die Binärdatei signiert wurde, also ist es entweder ein großer Hack oder ein Schurkenentwickler. In der Zwischenzeit ist mein Geld immer noch FUD: Die Botschaft wäre anders gewesen, wenn es wirklich Probleme gegeben hätte. Zumindest hätte es keine proprietäre Software als Ersatz vorgeschlagen.

12
Luc