TrueCrypt ist angeblich nicht mehr sicher

TrueCrypt hat sein gleichnamiges Verschlüsselungstool eingestellt. Als Grund geben die Entwickler auf ihrer seit Mittwoch auf Sourceforge umgeleiteten Website an, die quelloffene Software sei „unsicher“ und enthalte möglicherweise ungepatchte Sicherheitslücken. Als Alternative für TrueCrypt empfehlen sie unter anderem Microsofts Festplattenverschlüsselung BitLocker. Obwohl Truecrypt quelloffen ist, handelt es sich wegen offener rechtlicher Fragen nicht um ein Open-Source-Projekt. Sie entspricht außerdem nicht der Definition der von Bruce Perens und Eric S. Raymond gegründeten Open-Source-Initiative.

„Die Entwicklung von TrueCrypt wurde im Mai 2014 beendet, nachdem Microsoft den Support für Windows XP eingestellt hat“, heißt es derzeit auf der TrueCrypt-Website. „Windows 8, 7, Vista und später bieten eine integrierte Unterstützung für verschlüsselte und virtuelle Festplatten an. Diese integrierte Unterstützung ist auch für andere Plattformen erhältlich. Sie sollten alle mit TrueCrypt verschlüsselten Daten auf verschlüsselte Festplatten oder virtuelle Festplatten-Images übertragen, die von Ihrer Plattform unterstützt werden.“

Für die meisten Windows-Nutzer ist BitLocker jedoch keine Alternative. Die Funktion ist nur in den Enterprise- und Ultimate-Versionen von Windows Vista, 7 und 8 enthalten. Erst seit Windows 8.1 liefert Microsoft auch die Professional-Version mit Bitlocker aus. Den Home-Ausgaben des Microsoft-Betriebssystems fehlt jedoch eine Datei- oder Festplattenverschlüsselung.

Auf Twitter wird seit Mittwoch über die wahren Gründe für das Aus von TrueCrypt spekuliert, zumal es keine Angaben zu den „ungepatchten Sicherheitslücken“ gibt. Die Entwickler des Tools können allerdings nicht kontaktiert werden, da ihre Identität nicht bekannt ist. Dieser Umstand war auch stets kritisiert worden.

Ein Projekt von Freiwilligen hatte deswegen vor Kurzem ein formelles Security-Audit begonnen. In Fefes Blog heißt es dazu, die Phase 1 sei „mit recht positiven Ergebnissen“ abgeschlossen worden. Die Phase 2 habe jedoch noch nicht angefangen.

Darüber hinaus rät der Autor des Blogs, Mitinhaber des Berliner Sicherheitsunternehmens Code Blau, davon ab, die seit Mittwoch erhältliche neue Version 7.2 von TrueCrypt zu installieren. Sie sei mit dem Schlüssel der Vorgängerversion signiert worden. Die Entwickler weisen außerdem bei der Installation ausdrücklich darauf hin, dass das Update nur zur Migration verschlüsselter Daten geeignet ist, also zur Entschlüsselung von Daten. Neue verschlüsselte Laufwerke lassen sich damit nicht anlegen.

Auch Matthew Green, Kryptograph, Professor an der John Hopkins University und Leiter des TrueCrypt-Audit-Projekts, sind nach eigenen Angaben keine weiteren Details bekannt. In einem Interview mit dem Sicherheitsexperten Brian Krebs sagte er, die Entwickler hätten ihre Arbeit wahrscheinlich einfach nur einstellen wollen und hätten das eben auf ihre Art mit einem „Knall“ getan.

Es wird aber auch vermutet, das TrueCrypt kompromittiert wurde. Aus einem Gespräch zwischen Green und dem Reporter Glenn Greenwald geht hervor, dass beide annehmen, dass es Behörden gelungen ist, auf eine mit TrueCrypt verschlüsselte Festplatte zuzugreifen, die Greenwalds Lebensgefährten gehört. „Einer nicht zertifizierten Windows-Anwendung von einer mysteriösen anonymen Organisation zu vertrauen ist keine vorbildliche Lösung“, sagte Green.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de