Kritische Sicherheitslücken in Verschlüsselungssoftware TrueCrypt entdeckt

Der Google-Sicherheitsforscher James Forshaw hat zwei kritische Sicherheitslücken in TrueCrypt gefunden. Sie stecken in einem Treiber, den die Verschlüsselungssoftware unter Windows installiert. Ein Angreifer könnte darüber Systemrechte erlangen, auch wenn der angemeldete Benutzer nur über ein eingeschränktes Konto verfügt.

Die Schwachstellen mit den Kennungen CVE-2015-7538 und CVE-2015-7539 werden allerdings nicht mehr in TrueCrypt beseitigt, da der Entwickler seine Arbeit an der Software eingestellt hat. Fixes enthält indes die am Samstag veröffentlichte Version 1.15 von VeraCrypt, einer Open-Source-Anwendung, die auf dem TrueCrypt-Code basiert. Dessen Herausgeber stuft allerdings nur CVE-2015-7358 als kritisch ein.

Die ursprünglichen Autoren von TrueCrypt hatten ihr Projekt im Mai 2014 überraschend eingestellt. Als Grund gaben sie an, die Software sei „unsicher“ und enthalte möglicherweise ungepatchte Sicherheitslücken. Zuvor hatte ein Projekt von Freiwilligen ein formelles Security-Audit begonnen, dessen erste Phase mit „recht positiven Ergebnissen“ abgeschlossen wurde.

Ein Audit von Ingenieuren von iSEC Partners hat jedoch keine Hinweise auf absichtlich eingefügte Sicherheitslücken oder gar Hintertüren im Code gefunden. Gegenstand der Prüfung war auch der jetzt als fehlerhaft eingestufte Windows-Treiber. Treiber für das Microsoft-Betriebssystem bezeichnete Forshaw in diesem Zusammenhang auf Twitter als „komplexes Biest“. Ein Fehler, der eine unautorisierte Rechteausweitung erlaube, sei schnell übersehen.

Details zu den Schwachstellen hat Forshaw, der zu Googles Project Zero gehört, bisher nicht veröffentlicht. Seine Fehlerberichte mache er frühestens sieben Tage nach der Freigabe eines Patches öffentlich.

TrueCrypt und VeraCrypt nutzen immer noch viele Anwender, da beide Programme zu den wenigen kostenlosen Lösungen für Windows zählen, die eine vollständige Festplattenverschlüsselung erlauben – inklusive der Windows-Partition. Nutzer, die derzeit noch TrueCrypt einsetzen, sollten nun auf VeraCrypt umsteigen.