(Bild: dpa, Oliver Bergs)
Das Open Crypto Audit Project (OCAP) hat in seinem TrueCrypt-Audit kleinere Schwachstellen im Verschlüsselungs-Tool entdeckt, die aber einer Verwendung nicht entgegenstehen.
Die letzte Version 7.1a des Verschlüsselungsprogramms TrueCrypt ist sicher und kann bedenkenlos weiter genutzt werden. Zu diesem Ergebnis kam das Open Crypto Audit Project (OCAP) nach einer Analyse des Tools und des zugehörigen Quellcodes. Das Projekt hat ein umfangreiches Audit durchgeführt und nun den abschließenden Bericht dazu als PDF-Datei veröffentlicht.
TrueCrypt war im Rahmen der Snowden-Enthüllungen ins Interesse der Forschergemeinde gerückt. Diese hatte Spenden gesammelt, um den Quellcode auf Hintertüren und Programmierfehler durchsuchen zu lassen. Das in diesem Zusammenhang geschaffene Open Crypto Audit Project (OCAP) hatte zunächst Bootloader und Windows-Kerneltreiber des Programms untersucht und keine graviernden Mängel entdeckt. Nunmehr ist der zweite und letzte Teil des Audits abgeschlossen.
Die OCAP-Forscher haben vier Schwächen im TrueCrypt-Quellcode ausgemacht, von denen sie eine als ernsthafter einstufen. Dabei geht es um die Generierung von Zufallszahlen zur Schlüsselerzeugung in der Windows-Version. Unter sehr unwahrscheinlichen Umständen sei es möglich, dass das Windows-Crypto-API nicht sauber aufgerufen werde, ohne dass dies von TrueCrypt bemerkt werde. In diesen Fällen generiere TrueCrypt unsichere Schlüssel zur Festplattenverschlüsselung.
Die Feststellungen von OCAP beziehen sich ausdrücklich auf das letzte offizielle Release von TrueCrypt (erhältlich auch bei heise Download), nicht aber auf dessen Nachfolger. Die Entwickler des viel genutzten Open-Source-Tools hatten im Mai 2014 plötzlich erklärt, das Interesse an der Fortführung des Projekts verloren zu haben. Der Code sei angeblich unsicher, Nutzer sollten lieber das Windows-Tool Bitlocker zur Festplattenverschlüsselung nutzen. Noch heute ist unklar, was sie zu dieser Aussage bewogen hat. Das umfangreiche Code-Audit von OCAP konnte die Existenz von gravierenden Sicherheitslücken zumindest nicht bestätigen.
(hob)