Spiegel Online und Golem.de berichten heute (16.12.19) über ein als VS-NfD (Verschlusssache – Nur für den Dienstgebrauch; die niedrigste behördliche Geheimhaltungsstufe in Deutschland) eingestuftes Sicherheitsaudit der veralteten Software TrueCrypt. Es wird sich ein bisschen echauffiert, dass niemand von diesem Audit wusste. Dabei war die Existenz des Audits bekannt, es wurde nämlich schon im Juni 2014 in einer Pressemeldung der Fa. Sirrix AG (2015 von Rhode und Schwarz aufgekauft) erwähnt. Leider sind die Web-Seiten der Sirrix AG nicht mehr verfügbar. Der Autor ist sich aber sicher, dass dort auch die Einstufung des Audits-Reports als VS-NfD erwähnt wurde.
Die Sirrix AG hatte gemeinsam mit der escrypt GmbH im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI) TrueCrypt einem umfassenden Audit unterzogen. Der Hintergrund des Audits war die Entwicklung der Software TrustedDisk Enterprise. Noch heute im Kaufhaus des Bundes für Behördenbeschäftigte verfügbar. TrustedDisk basiert wohl auf dem Code von TrueCrypt und ist eine deutlich aufgebohrte Lösung mit zusätzlichen Funktionen. TrustedDisk ist seit 2013 für Dokumente der untersten Vertraulichkeitsstufe VS-NfD (und entsprechend seit 2015 für RESTREINT UE / EU RESTRICTED sowie NATO RESTRICTED) unter Windows 7/8/10 zugelassen.
In der Pressemeldung wird auch – allerdings sehr abstrakt – auf die gefundenen Schwachstellen eingegangen. „Die im Audit gesammelten Erkenntnisse sind in die neue Verschlüsselungssoftware eingeflossen und haben die bisherige TrueCrypt-Sicherheits-Architektur und -Implementierung deutlich verbessert. Hierzu gehören beispielsweise ein verbesserter Bootloader, die Zufallszahlenerzeugung oder der Schutz des Schlüsselmaterials.“ Mit der neuen Verschlüsselungssoftware ist TrustedDisk gemeint.
Anlass der Pressemeldung von 2014 war die (bis heute nicht erfüllte) Ankündigung eine OpenSource Version von TrustedDisk als TrueCrypt-Nachfolger zu entwickeln und zur Verfügung zu stellen. Die Probleme liegen in der sehr eigenwilligen Lizenz von TrueCrypt, die nicht als freie Lizenz angesehen wird.
Das mittlerweile der Audit-Report bei FragDenStaat veröffentlicht wurde, ist natürlich zu begrüßen. Insbesondere VeraCrypt als legitimer TrueCrypt-Nachfolger hat schon und wird auch weiter davon profitieren, indem vorhandene Sicherheitslücken geschlossen wurden und werden.
Mittlerweile (18.12.) hat Golem.de diesen Blogeintrag aufgegriffen und den Sachverhalt entsprechend dargestellt.
RSS