[spartan-b292]

Der erste Teil der unabhängigen Quellcode-Überprüfung des Verschlüsselungsprogramms TrueCrypt ist abgeschlossen. Die Sicherheitsforscher fanden keine Hintertür, dafür aber eine Handvoll Bugs.

Die Sicherheitsfirma iSec Partners hat den ersten Teil der unabhängigen Quellcode-Überprüfung von TrueCrypt beendet. Dabei kam heraus, dass der Code nach Einschätzung der Forscher keine vorsätzlich eingebaute Hintertür enthält – er genügt allerdings auch nicht den gängigen Standards für das Programmieren von sicherheitsrelevanter Software. Bei ihrer Untersuchung fanden die Forscher einige Programmfehler, die sie zwar nicht als kritisch einschätzen, ein Bug erlaubt aber unter Umständen, Daten zu entschlüsseln.

Die Verschlüsselungssoftware TrueCrypt war voriges Jahr im Rahmen der Snowden-Enthüllungen ins Interesse der Forschergemeinde gerückt. Diese hatte Spenden gesammelt, um den Quellcode auf Hintertüren und Programmierfehler durchsuchen zu lassen. Das in diesem Zusammenhang geschaffene Open Crypto Audit Project (OCAP) engagierte daraufhin iSec für den ersten Teil der Code-Überprüfung, welcher sich mit dem Bootloader und dem Windows-Kerneltreiber des Programms befassen sollte.
Mehrere Bugs, keine Hintertür

Die zwei Experten von iSec geben in ihrem Bericht zu Protokoll, dass sie keine vorsätzlich eingebaute Hintertür oder Bugs in dem von ihnen getesteten Code finden konnten. Alle entdeckten Probleme sähen nach unbeabsichtigten Fehlern aus. Das bezieht sich auf die von der Webseite des TrueCrypt-Projektes heruntergeladene Version 7.1a des Programms. Gegenstand der Code-Überprüfung war sowohl der Quellcode als auch die von der Webseite erhältlichen Binärdateien.

Insgesamt entdeckten die Forscher 11 Schwachstellen. Die gravierendste davon betrifft die Verschlüsselung der Volume Header. Diese benutzt die PBKDF2-Funktion, um aus dem Passwort für das Volume den Schlüssel für die verschlüsselten Daten abzuleiten. TrueCrypt nutzt hierbei allerdings, je nach Anwendungsgebiet, nur 1000 oder 2000 Durchgänge, was die Verschlüsselung anfällig für Brute-Force-Angriffe macht. Laut den Forschern seien selbst mittelmäßig komplexe Passwörter durch diesen Prozess nicht sicher und erlaubten es einem Angreifer, das verschlüsselte Volume zu knacken.
Laxe Programmierstandards

Die Sicherheitsforscher bemängeln aber auch die allgemeine Qualität des TrueCrypt-Quellcodes. Er sei schlecht kommentiert und nutze zum Teil unsichere und überholte Funktionen. Sie monieren ebenfalls die mangelnde Konsistenz der Variablen-Namen. Alles dies erschwere die Aufgabe unabhängiger Tester und mache es umso schwerer für neue Entwickler, sich in die Funktionsweise des Codes einzuarbeiten.

Schon seit langem kritisieren Experten, dass Nutzer des Programms schwer nachvollziehen können, ob der öffentliche Quellcode auch wirklich mit den Binärdateien übereinstimmt, die das TrueCrypt-Projekt anbietet. Zwar wurden diese Zweifel schon letztes Jahr weitgehend ausgeräumt, trotzdem merken die iSec-Forscher an, dass die Macher von TrueCrypt ihren Build-Prozess modernisieren sollten. Die Werkzeuge, die benötigt würden, um den Quellcode zu kompilieren seien zum Teil arkan und schwer aus vertrauenswürdigen Quellen zu bekommen.
Empfehlungen

Die Forscher empfehlen, den Build-Prozess auf Werkzeuge zu verlegen, die von Herstellern aktiv unterstützt werden. Des weiteren sollen die Entwickler detailliert beschreiben, wie sich die Binärdateien reproduzierbar aus dem Quellcode zusammenbauen lassen.

Der komplette Bericht der Forscher kann als 32-seitiges PDF von der OCAP-Seite heruntergeladen werden und enthält im Anhang eine mehrseitige Erklärung der problematischen Programmierstandards im untersuchten Code:

Quelle: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]