Encryptiesoftware VeraCrypt patcht TrueCrypt-lekken
Er is een nieuwe versie van VeraCrypt verschenen, de op TrueCrypt-gebaseerde encryptiesoftware. Een onderzoeker van Google had in TrueCrypt twee lekken ontdekt die ook in VeraCrypt aanwezig waren. Via de lekken kon een lokale aanvaller die al toegang tot het systeem heeft zijn rechten verhogen.
TrueCrypt wordt sinds vorig jaar niet meer ondersteund, waardoor de twee kwetsbaarheden niet worden gepatcht. VeraCrypt is op de broncode van TrueCrypt gebaseerd en wordt nog wel actief onderhouden. Naast de twee kwetsbaarheden zijn ook verschillende andere niet-security gerelateerde bugs verholpen. Gebruikers van VeraCrypt krijgen dan ook het advies om naar versie 1.15 te upgraden.
James Forshaw, de onderzoeker van Google die de kwetsbaarheden ontdekte, stelt dat het hier niet om backdoors gaat, maar dat ze wel ongemerkt door de TrueCrypt-audit heen kwamen. Vorig jaar werd TrueCrypt op de aanwezigheid van backdoors geaudit, waarbij verschillende problemen werden gevonden. Backdoors werden niet aangetroffen. Een paar weken nadat het eerste deel van de audit was afgerond besloten de TrueCrypt-ontwikkelaars met de ontwikkeling van de software te stoppen. De gevonden problemen werden daardoor niet gepatcht, wat ook voor nieuwe kwetsbaarheden geldt.
Dat denk ik ook. Truecrypt is / was moeilijk te kraken tot grote ergernis van de NSA / FBI etc.
Veracrypt zal naar alle waarschijnlijk wel een deurtje open hebben........ Truecrypt niet........
@14:45: Zo gek is dat niet. Zo'n code review is ook maar mensenwerk.Het gaat letterlijk om vele duizenden regels code, daar kun je makkelijk iets over het hoofd zien wat toch onveilig is geïmplementeerd. Sowieso lag de nadruk van die audit met name op het vlak van de cryptofuncties zelf, dat was ook de doelstelling van dat project. Deze bug zit blijkbaar in de driver binnen de Windows applicatie zelf (die zorgt voor de mapping met drive letters), het zou me niets verbazen als ze daar niet of nauwelijks naar gekeken hebben.
Sowieso moeten we dit probleem niet overdrijven. Het is niet alsof een 'tegenstander' nu zomaar je data at rest kan decrypten op commando.
Misschien kun je dat wel oplossen door de driver van truecrypt te vervangen met die van gepatchte veracrypt mits deze nog dezelfde handle's gebruikt.
Er is eigenlijk maar een feilloze manier om data te beschermen; data die niet bestaat kun je niet stelen. Big data moet weer little data worden, belangrijke informatie moet terug naar het papier en niet relevante informatie moet niet verzameld worden.
Een dergelijke bug zorgt er gewoon voor dat, wanneer exploited, je data niet meer de integriteitscheck haalt. Je hebt geen backdoors meer nodig.
@16:51: je hebt gelijk dat de data met deze vulnerability niet offline te decryptiebevel is, mits een aanvaller niet inmiddels online het systeem heeft overgenomen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
