L’histoire récente du logiciel de chiffrement TrueCrypt est étrange. Tout d’abord, il y avait une campagne de crowdfunding pour obtenir le logiciel vérifiés pour des questions de sécurité en 2013, après Edward Snowden fuite d’informations classifiées de l’Agence de Sécurité Nationale (NSA) à partir de juin 2013.
Puis, en Mai 2014, une annonce a été publiée sur le site de TrueCrypt affirmant que TrueCrypt n’était pas sûr de plus et que les utilisateurs devraient trouver un autre programme à utiliser à cette fin.
Les développeurs publié une version finale de TrueCrypt qui a été brisé (par conception), à de nombreux égards. Le code source final de la version complète du programme a été publié par Gibson Corporation de Recherche et des solutions de rechange telles que VeraCrypt ou CipherShed est apparu peu de temps après.
À l’époque, TrueCrypt de l’audit n’a pas été complète que seule la première phase de l’audit a été complété par les chercheurs.
La recherche a pris la décision de poursuivre la vérification de TrueCrypt 7.1 a, malgré le fait que les développeurs du projet abandonné le projet dans le temps.
Aujourd’hui, la phase 2 de la TrueCrypt l’analyse est terminée. Les recherches ont téléchargé le dernier rapport en tant que document PDF sur le site officiel d’où il peut être téléchargé.
Un total de quatre vulnérabilités ont été découvertes:
- Keyfile le mélange n’est pas au sens cryptographique du son (faible).
- Non authentifié texte chiffré en-têtes de volume (indéterminée).
- CryptAcquireContext peut échouer en mode silencieux dans des scénarios (haute).
- Mise en œuvre AES sensibles à cache attaques temporelles (haute).
Le plus grave constatation se rapporte à l’utilisation de l’API Windows pour générer des nombres aléatoires pour la clé de chiffrement principale du matériau parmi d’autres choses. Tandis que le CS estime que ces appels de réussir dans tous les scénarios,au moins un scénario inhabituel serait la cause de la appels à l’échec et à s’appuyer sur la rareté des sources d’entropie; il est difficile de savoir dans quelles autres situations, ils peuvent échouer.
En outre, CS identifié que le volume de l’en-tête de déchiffrement s’appuie sur une mauvaise intégrité des vérifications pour détecter la falsification, et que la méthode de l’entropie de mélange de keyfiles n’était pas son point de vue cryptographique.
Enfin, le CS a identifié plusieurs inclus implémentations de l’AES qui peuvent être vulnérables à cache-timing des attaques. La façon la plus simple d’exploiter ce serait en utilisant le code natif, pouvant être livrés par le biais de NaCl dans Chrome; cependant, la méthode la plus simple de l’exploitation à travers ce vecteur d’attaque a été récemment fermé. #
Le rapport met en évidence une vulnérabilité dans le détail de ce qui devrait aider les projets qui utilisent la source TrueCrypt en tant que base pour résoudre les problèmes de mises à jour futures.
Il convient de noter que la vérification a été portée étroite, et non pas un code complet de l’examen. L’équipe s’est concentrée sur des parties importantes de TrueCrypt et notamment ses implémentations cryptographiques et d’utilisation.