Das rätselhafte Ende von TrueCrypt
Zusammenfassung
Ende Mai 2014 ersetzten die anonymen Entwickler von TrueCrypt die Projektseite durch eine Warnung, das Programm sei nicht sicher, und eine Anleitung zum Umstieg auf Microsofts BitLocker. Brian Krebs berichtete am 29. Mai, dass die zuletzt veröffentlichte Version mit demselben Schlüssel signiert war wie frühere Versionen, die Nachricht also wohl echt war. Das Aus kam mitten in einem von Spenden finanzierten Sicherheitsaudit und ließ viele Nutzer ratlos zurück.
Was geschah
truecrypt.org leitete plötzlich auf die SourceForge-Seite weiter, die nur noch warnte: „Using TrueCrypt is not secure as it may contain unfixed security issues“. Die Entwicklung sei im Mai 2014 eingestellt worden, nachdem Microsoft den Support für Windows XP beendet habe; Windows bringe selbst Verschlüsselung mit. Eine letzte Version konnte vorhandene Container nur noch entschlüsseln.
Zweifel an einem Hack zerstreuten die unveränderten Hosting- und DNS-Einträge und die gleiche Signatur wie im Januar 2014. Der Kryptograf Matthew Green, Mitinitiator eines Audits, für das über 70.000 Dollar gespendet worden waren, hielt die Nachricht für echt. Den ersten Teil des Audits, die Prüfung des Bootloaders, hatte iSEC Partners bereits abgeschlossen.
Ideen
- Sicherheitssoftware von anonymen Entwicklern trägt ein Abhängigkeitsrisiko.
- Eine Signatur hilft, echte Nachrichten von Fälschungen zu unterscheiden.
- Unklare Lizenzen erschweren die Fortführung durch andere.
- Ein Audit prüft Code, nicht die Zukunft des Projekts.
Einsichten
- Die Unsicherheit über die Gründe nährte Spekulationen über staatlichen Druck; belegt wurde davon nichts. Die zweite Phase des Audits fand 2015 keine Hintertür.
- Weitergeführt wurde die Software als Fork VeraCrypt, der Schwächen behob und bis heute gepflegt wird.
Fakten
- Krebs berichtete am 29. Mai 2014 über die Einstellung von TrueCrypt.
- Die letzte Version war mit demselben Schlüssel signiert wie die Version vom Januar 2014.
- Für das Audit kamen laut Matthew Green über 70.000 Dollar an Spenden zusammen.
Referenzen
Bemerkungen
- Die ursprüngliche TrueCrypt-Seite bei SourceForge ist für Skripte gesperrt und im Webarchiv ausgeschlossen; deshalb ist hier der Bericht von KrebsOnSecurity das Original.
Empfehlungen
- Verschlüsselungswerkzeuge mit aktiver Pflege und klarer Lizenz wählen, unter Linux LUKS, sonst etwa VeraCrypt.
- Alte TrueCrypt-Container in ein gepflegtes Format umziehen.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.