TrueCrypt: Verschlüsselungssoftware sicherer als geglaubt

TrueCrypt ist sicherer als bisher angenommen. Das befindet das Fraunhofer Institut für Sicherheit in der Informationstechnologie bei einer umfassenden Sicherheitsüberprüfung. Erst kürzlich hatte Googles Project Zero eine Lücke in TrueCrypts Windows-Treiber gefunden, der bereits einen Audit überlebt hatte.

Das Fraunhofer Institut für Sicherheit in der Informationstechnologie (SIT) hat nun auf 77 Seiten (PDF) einen sehr ausführlichen Bericht über die im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) vorgenommene Überprüfung von TrueCrypt veröffentlicht. Dabei stellte das Fraunhofer SIT fest, dass es keinen Grund gebe anzunehmen, TrueCrypt erfülle die zugesicherten Eigenschaften nicht.

Das Fraunhofer SIT untersuchte die beiden letzten Versionen 7.0a und 7.1a. Zudem flossen die beiden bereits vorgenommenen Audits des Open Crypto Audit Projects (OCAP) mit in die Bewertung ein.

Bei den von OCAP beauftragten Audits war ein gutes Dutzend an Schwachstellen entdeckt worden, die in der jetzigen Untersuchung bestätigt wurden. Auch die Schwachstellen und unüblichen Eigenheiten im Code wurden erneut bemängelt, da sie durch unnötigen Code Fehlerquellen einschleppen und den Code für Dritte schwer wart- und erweiterbar machen. Zudem sei der Code schlecht dokumentiert. Wie schon zuvor wurde die Art der Erzeugung von Zufallszahlen zum Erstellen der kryptografischen Schlüssel gerügt.

Das Fraunhofer SIT bescheinigt TrueCrypt, das nicht eingehängte Festplatten sicher vor Angreifern sei. Dazu sagte Eric Bodden von der Technischen Universität Darmstadt, der die Studie leitete, in einer Zusammenfassung, dass vielen Nutzern nicht klar sei, dass TrueCrypt naturgemäß nicht in der Lage sei, verschlüsselte Daten vor Angreifern zu schützen, die auf das laufende System zugreifen können.

Das liegt laut Bodden daran, dass die Daten eines eingehängten TrueCrypt-Volumes generell über das Dateisystem zugänglich seien. Sei ein Angreifer in der Lage, einen Keylogger ins System einzubringen, so habe er gute Chancen, einen entsprechenden Schlüssel abfangen zu können. Nur im ausgehängten Zustand, wenn sich keine Zugangsinformationen mehr im flüchtigen Speicher befänden, sei TrueCrypt sicher vor Zugriffen.

Alle entdeckten Schwachstellen wären nicht kritisch, wenn denn Aussicht auf Reparatur bestünde. Das sieht derzeit nicht gut aus, da das Projekt vor 18 Monaten unter immer noch etwas mysteriösen Umständen eingestellt wurde. Lediglich in VeraCrypt, das auf TrueCrypt basiert, wurden einige der Lücken beseitigt.

Der Grund für das BSI, diese umfassende Sicherheitsüberprüfung zu beauftragen liegt darin, dass das BSI mehrere Zulassungen für TrustedDisk ausgesprochen hat. TrustedDisk ist ein Fork von TrueCrypt 7.0a, in den aber Verbesserungen bei der Zufallszahlenerzeugung und beim Bootloader eingeflossen sind.

Diese weitere Sicherheitsbewertung kann TrueCrypt nicht wiederbeleben oder sicherer machen. Es verschafft den Anwendern aber etwas mehr Zeit, bis Alternativen wie VeraCrypt weiter fortgeschritten sind.