Googles Project Zero hat bei der Verschlüsselungssoftware TrueCrypt zwei bisher unbekannte Sicherheitslücken entdeckt. Eine davon könnte kritisch sein.
Im Quellcode der Verschlüsselungssoftware TrueCrypt haben Teilnehmer von Googles Project Zero zwei neue Sicherheitslücken gefunden. Mindestens eine davon hat man als kritisch eingestuft. Noch ist unklar, ob damit auch der Zugriff auf verschlüsselte Daten möglich ist.
James Forshaw von Project Zero (Google) hat auf Twitter auf bislang unbekannte Sicherheitslücken bei TrueCrypt hingewiesen. Forshaw wundert sich in seinem Tweet, wie man die Lücken beim letzten Audit übersehen konnte. Beim zweistufigen Testverfahren wurden bis auf ein paar kleinere Probleme keine brisanten Schwachstellen gefunden. Forshaw glaubt aber nicht an eigens von den Programmierern installierte Hintertüren, die man mithilfe der Sicherheitslücken aktivieren könne. Wenn überhaupt geschah der Einbau unabsichtlich. Bei VeraCrypt sind diese Lücken übrigens nicht vorhanden.
TrueCrypt: Details zu den Bugs lassen auf sich warten
Der genaue Umfang der Lücken soll erst in einigen Tagen veröffentlicht werden. Damit sollen alle Nutzer die Gelegenheit erhalten, auf die neueste Version von VeraCrypt (Version 1.15) oder eine andere Verschlüsselungssoftware umzusteigen. Das Problem: VeraCrypt wurde bisher noch gar keinem Audit unterzogen und ist damit nicht zwingend sicherer. Jochim Selzer führt im Interview bei tarnkappe.info zudem aus, dass noch immer die Lizenzierung des Quellcodes von VeraCrypt ungeklärt ist. Somit hängt nach Ansicht des Diplom Mathematikers ein mächtiges Damoklesschwert über dem französischen Softwareprojekt.
Die kommerzielle Konkurrenz hat die Ankündigung heute bereits in eigenen Pressemitteilungen verarbeitet. Beispielsweise wirbt Anbieter Steganos für den Einsatz der hauseigenen Software Steganos Safe 15, die im Handel regulär knapp 30 Euro kostet. Für Umsteiger soll es die Verschlüsselungssoftware für Windows bis Jahresende umsonst geben. In der Pressemitteilung führt man nicht aus, ob für die Anwender nach dem 1.1.2016 Kosten anfallen werden. Davon darf man aber im Gegensatz zu Veracrypt oder Truecrypt getrost ausgehen…
Noch steht nichts fest!
Bis zu einem möglichen Umstieg sollte man aber so oder so abwarten, wie kritisch die neuen Lücken sind. Denn mit „Gewissheit“, wie Steganos ausführt, steht de facto noch gar nichts fest. Bekannt ist bisher nur, dass die Bugs in einem Windows-Treiber verborgen sein sollen. Die Linux-Nutzer sind bei dieser Problematik offenbar außen vor.
Zudem gilt: Besser mit TrueCrypt die eigenen Daten als überhaupt nicht verschlüsseln. Verschiedene behördliche und private Ermittler gaben gegenüber der Redaktion unlängst bekannt, dass maximal fünf Prozent aller Durchsuchten ihre Geräte verschlüsselt haben.
Tarnkappe.info
