29 May 2014, 18:58
Op de website van de populaire encryptiesoftware TrueCrypt is een waarschuwing verschenen waarin staat dat de software niet veilig is, omdat het ongepatchte beveiligingslekken bevat. TrueCrypt is een gratis programma voor het versleutelen van complete harde schijven en losse bestanden.
De ondersteuning van TrueCrypt zou in mei van dit jaar zijn gestaakt omdat Microsoft de ondersteuning van XP stopte. Het advies op de website stelt dat TrueCrypt-gebruikers op Windows Vista, Windows 7 en Windows 8 naar andere encryptieoplossingen moeten migreren, zoals BitLocker.
De waarschuwing als een grote verrassing. Onlangs werd er nog een via crowdfunding gefinancierd onderzoek naar TrueCrypt verricht om te kijken of de software geen backdoors bevatte. Hoewel er verschillende beveiligingsproblemen werden vastgesteld troffen de onderzoekers geen backdoors aan.
Opmerkelijk aan de situatie is dat de website TrueCrypt.org naar de SourceForge-pagina van TrueCrypt doorverwijst. SourceForge is een website voor programmeurs en softwareontwikkelaars. Deze pagina biedt een nieuwe versie van TrueCrypt aan, die volgens deze analyse veranderingen bevat waarin wordt gewaarschuwd dat de software onveilig is. Ook laat het programma gebruikers hun data ontsleutelen, maar niet versleutelen. De software is wel met de officiele TrueCrypt-sleutel gesigneerd.
Reactie
De makers van TrueCrypt zelf, waarvan het onbekend is wie het zijn, hebben nog niet gereageerd. Volgens IT-professor Matthew Green, die het crowdfunding-iniatief startte om TrueCrypt te laten onderzoeken, is het onwaarschijnlijk dat aanvallers erin zijn geslaagd om de signeer-sleutel van de TrueCrypt-ontwikkelaars te stelen en de website te hacken. Hij vermoedt dan ook niet dat het om een hoax gaat, maar het valt op dit moment ook niet uit te sluiten.
Ook wordt er met een scenario rekening gehouden waarbij de TrueCrypt-ontwikkelaars op zo'n manier zijn gecompromitteerd dat ze niet in staat zijn om gebruikers te waarschuwen dat het geen officiële waarschuwing betreft. Als de waarschuwing legitiem blijkt te zijn hoopt Green dat anderen het TrueCrypt-project zullen oppakken en een zogeheten 'fork' zullen maken, een afsplitsing van het programma die dezelfde functionaliteit biedt, maar nog wel wordt ondersteund.
Gepost op 29 mei 2014 om 18:41.
Lees het complete artikel via deze link.
De ondersteuning van TrueCrypt zou in mei van dit jaar zijn gestaakt omdat Microsoft de ondersteuning van XP stopte. Het advies op de website stelt dat TrueCrypt-gebruikers op Windows Vista, Windows 7 en Windows 8 naar andere encryptieoplossingen moeten migreren, zoals BitLocker.
De waarschuwing als een grote verrassing. Onlangs werd er nog een via crowdfunding gefinancierd onderzoek naar TrueCrypt verricht om te kijken of de software geen backdoors bevatte. Hoewel er verschillende beveiligingsproblemen werden vastgesteld troffen de onderzoekers geen backdoors aan.
Opmerkelijk aan de situatie is dat de website TrueCrypt.org naar de SourceForge-pagina van TrueCrypt doorverwijst. SourceForge is een website voor programmeurs en softwareontwikkelaars. Deze pagina biedt een nieuwe versie van TrueCrypt aan, die volgens deze analyse veranderingen bevat waarin wordt gewaarschuwd dat de software onveilig is. Ook laat het programma gebruikers hun data ontsleutelen, maar niet versleutelen. De software is wel met de officiele TrueCrypt-sleutel gesigneerd.
Reactie
De makers van TrueCrypt zelf, waarvan het onbekend is wie het zijn, hebben nog niet gereageerd. Volgens IT-professor Matthew Green, die het crowdfunding-iniatief startte om TrueCrypt te laten onderzoeken, is het onwaarschijnlijk dat aanvallers erin zijn geslaagd om de signeer-sleutel van de TrueCrypt-ontwikkelaars te stelen en de website te hacken. Hij vermoedt dan ook niet dat het om een hoax gaat, maar het valt op dit moment ook niet uit te sluiten.
Ook wordt er met een scenario rekening gehouden waarbij de TrueCrypt-ontwikkelaars op zo'n manier zijn gecompromitteerd dat ze niet in staat zijn om gebruikers te waarschuwen dat het geen officiële waarschuwing betreft. Als de waarschuwing legitiem blijkt te zijn hoopt Green dat anderen het TrueCrypt-project zullen oppakken en een zogeheten 'fork' zullen maken, een afsplitsing van het programma die dezelfde functionaliteit biedt, maar nog wel wordt ondersteund.
Gepost op 29 mei 2014 om 18:41.
Lees het complete artikel via deze link.