Kritische Sicherheitslücken in Open-Source-Verschlüsselungssoftware VeraCrypt entdeckt

Die insgesamt 26 Schwachstellen sind das Ergebnis einer unabhängigen Sicherheitsprüfung. Vier kritische Anfälligkeiten stecken im UEFI-Bootloader von VeraCrypt. Die Entwickler schließen die Lücken mit der am Montag veröffentlichten Version 1.19.

Bei einer Sicherheitsprüfung hat der französische Cybersecurity-Anbieter QuarksLab 26 Schwachstellen in der Open-Source-Verschlüsselungssoftware VeraCrypt entdeckt. Darunter sind acht als kritisch eingestufte Anfälligkeiten, die es unter anderem erlauben, Passwörter auszulesen. Finanziert wurde die Kontrolle unter anderem vom Open Source Technology Improvement Fund (OSTIF).

Verschlüsselung (Bild: Shutterstock)Alleine vier kritische Lücken stecken im VeraCrypt-Bootloader, der auf Computern zum Einsatz kommt, die das Unified Extensible Firmware Interface (UEFI) nutzen. Unter anderem werden Eingaben nach der Authentifizierung nicht korrekt gelöscht.

Der UEFI-Support ist eine der wichtigsten Neuerungen, die VeraCrypt als Nachfolger des 2014 überraschend eingestellten TrueCrypt mit sich brachte. VeraCrypt ist zudem die erste Open-Source-Lösung, die einen UEFI-kompatiblen Bootloader bietet. Da es sich um eine „junge“ Funktion handele, sei sie nicht so ausgereift wie die restliche Codebasis, die auf TrueCrypt basiere, erklärte Mounir Idrassi, Chefentwickler von VeraCrypt, gegenüber Computerworld.

Den größten Teil der von QuarksLab gemeldeten Sicherheitslöcher stopft die seit Anfang der Woche erhältliche Version VeraCrypt 1.19. Einige Probleme bleiben jedoch ungepatcht. Sie betreffen den von TrueCrypt übernommenen Code. Die benötigten Fixes würden Idrassi zufolge die Abwärtskompatibilität zu TrueCrypt einschränken.

Darüber hinaus haben die Entwickler den russischen Verschlüsselungsstandard GOST 28147-89 entfernt, dessen Implementierung bei der Prüfung als unsicher eingestuft wurde. Mit dem Algorithmus erstellte Container lassen sich weiterhin entschlüsseln, es können allerdings keine neuen Container damit angelegt werden. Auch die Bibliotheken XZip und XUnzip sind aufgrund zahlreicher Fehler nicht mehr in VeraCrypt enthalten. Sie wurden durch die modernere und laut QuarksLab sicherere Bibliothek libzip ersetzt.

VeraCrypt ist eine von wenigen kostenlosen Anwendungen, die unter Windows eine vollständige Laufwerksverschlüsselung ermöglichen – auch für das Betriebssystem. Microsoft bietet mit Bitlocker zwar eine hauseigene Lösung, sie ist aber den OS-Versionen Professional und Enterprise vorbehalten.

HIGHLIGHT

Open Telekom Cloud: Ressourcen auf Abruf

Von Capex zu Opex: Mit IT-Kapazitäten aus der Cloud statt von eigenen Servern verwandeln Unternehmen gerade verstärkt starre Investitionskosten in dynamische Ausgaben, die sich dem Geschäftsverlauf anpassen – und werden damit flexibler. Immer beliebter: Infrastructure-as-a-Service (IaaS) aus der Open Telekom Cloud.

Tipp: Wie gut kennen Sie sich mit Open-Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Open Source, Security, Sicherheit, Verschlüsselung

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Stefan Beiersmann
Autor: Stefan Beiersmann
Freier Mitarbeiter
Stefan Beiersmann
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Kritische Sicherheitslücken in Open-Source-Verschlüsselungssoftware VeraCrypt entdeckt

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *