Шифровальщик TrueCrypt содержит баги, но в целом безопасен

Шифровальщик TrueCrypt содержит баги, но в целом безопасен

Анонимный автор TrueCrypt прекратил работу над проектом еще 2014 году, посоветовав пользователям переходить на другие приложения для шифрования, так как сам TrueCrypt небезопасен. Но программу, невзирая на существование форков VeraCrypt и CipherShed, по-прежнему используют миллионы пользователей.

Теперь аудит проекта заказало правительство Германии, и эксперты пришли к неожиданному выводу: TrueCrypt действительно содержит ряд багов, но его вполне можно считать надежным.

На этот раз аудит кода TrueCrypt заказало Федеральное управление по информационной безопасности (German Federal Office for Information Security), а осуществляли проверку специалисты института Фраунхофера. Аудит занял у них полгода, а исследованию подверглась новейшая версия TrueCrypt — 7.1a. По итогам проверки аудиторы пришли к выводу, что продукт «гораздо безопаснее, чем предполагали предыдущие исследования», пишет xakep.ru.

Ранее TrueCrypt проверяли неоднократно. Так, группа криптографов завершила аудит исходного кода программы в апреле текущего года, невзирая на тот факт, что автор официально забросил проект год назад. 21-страничный отчет опубликован на сайте Open Crypto Audit Project (OCAP). Тогда TrueCrypt был признан хорошо спроектированным образцом криптографического ПО. Проверка не выявила никаких следов или значительных ошибок архитектуры, которые могут привести к уязвимостям. Правда, тогда аудиторы скорее искали бэкдоры.

Немного позже, в начале октября 2015 года, участник Google Project Zero Джеймс Форшоу (James Forshaw) сообщил, что аудиторы упустили кое-что из виду. Форшоу обнаружил сразу две уязвимости в TrueCrypt (CVE-2015-7358, CVE-2015-7359), обе актуальны для систем семейства Windows и позволяют осуществить эскалацию привилегий. В итоге можно получить права администратора и доступ ко всем данным пользователя, включая зашифрованные.  Форшоу тогда написал у себя в твиттере: «Хотя найденные мной баги и не являются бэкдорами, очевидно их все-таки не заметили, во время проведения аудита». Исследователь аккуратно намекнул, что аудиторы OCAP могли не обратить внимания на ошибки, так как искали в коде программы умышленно оставленные там бэкдоры.

Теперь программу для шифрования дисков проверили и немецкие аналитики. Аудит затронул алгоритм шифрования, качество кода и документации, программный дизайн и архитектуру, а также аудиторы поискали в коде TrueCrypt уязвимости. Отдельное внимание было уделено предыдущим исследованиям других групп.

В результате проверки немецкие эксперты пришли к выводу, что у TrueCrypt есть проблемы с качеством документации и удобством эксплуатации. Эксперты сочли приложение неидеальным с точки зрения безопасности, но в то же время назвали его не таким опасным, как принято считать. TrueCrypt вполне можно использовать для хранения данных «в состоянии покоя», то есть на внешнем диске или флеш-накопителе. При этом TrueCrypt не слишком хорош для защиты данных от атак, в ходе которых хакер имеет привилегированный доступ к системе. Но об этом риске было известно еще оригинальным разработчикам программы.

Что касается уязвимостей, обнаруженных Джеймсом Форшоу, исследователи института Фраунгофера пишут, что для реализации данного вектора атаки, злоумышленнику придется сначала получить удаленный или прямой доступ к системе, и лишь потом эксплуатировать брешь.

Так как в отчете OCAP говорилось, что TrueCrypt страдает от ряда багов, связанных с переполнением буфера, немецкие аналитики провели собственные тесты, чтобы проверить, так ли это. Как ни странно, согласно их данным, эксплуатация данных багов оказалась вообще невозможна.

С полным 77-страничным отчетом экспертов можно ознакомиться здесь.

Эрик Бодден (Eric Bodden), профессор Дармштадтского технического университета и глава команды аудиторов пишет:

«В заключение, я бы сказал, что код TrueCrypt, по большей части, в полном порядке. Проблемы, которые мы обнаружили, минимальны, аналогичные бреши могут обнаружиться и в других криптографических программах. В некотором смысле, TrueCrypt не хуже и не лучше его аналогов. Можно было бы улучшить качество кода, некоторые части требуют даже тщательной его  реструктуризации, и определенно нужна документация получше. Но в целом, программа делает то, для чего была создана».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Уже в течение 2 недель Huawei не сможет поставлять ноутбуки с Windows

В конце марта истекает срок лицензии Microsoft, выданной компании Huawei. В результате уже с апреля китайский производитель не сможет продавать ноутбуки и другие клиентские устройства с операционной системой Windows.

Ещё в сентябре 2024 года корпоративное издание компании сообщило, что в новых поколениях ноутбуков Huawei планирует использовать собственную разработку — операционную систему HarmonyOS.

Более того, исполнительный директор компании Ю Чжэньдун ранее заявлял, что Huawei придерживается стратегии полного отказа от американских аппаратных и программных компонентов.

Как недавно сообщило китайское технологическое издание My Drivers, в уже выпускаемых ноутбуках серии Matebook Huawei начала применять операционные системы на базе Linux. Такие устройства будут доступны как на внутреннем китайском, так и на международных рынках. Соответствующие изменения уже отразились в официальных каталогах компании.

В продукции для внутреннего рынка также будет увеличиваться доля устройств на основе систем от китайских производителей и разработчиков. Например, уже представлена модель ноутбука Huaweі, названная Huaweем, которая будет оснащаться операционными системами китайских разработчиков и комплектующими отечественного производства. В частности, появятся устройства с системой, разработанной китайскими компаниями, такие как ранее упомянутая HarmоnyOS.

Также компания намерена предложить рынку всё больше продукции, построенной на аппаратных и программных решениях собственного или китайского происхождения. Например, в фирменных устройствах Huawei для внутреннего рынка будут активнее использоваться китайские операционные системы и аппаратные компоненты от местных разработчиков и производителей. Так, недавно анонсированы модели, работающие полностью на отечественных китайских решениях.

По данным iXBT, уход от Windows может повлиять на спрос продукции Huawei на международном рынке, но при этом практически не затронет продажи компании в Китае.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru