Google onthult details van kritiek TrueCrypt-lek
Google heeft de details gepubliceerd van een kritiek beveiligingslek in TrueCrypt waardoor een lokale aanvaller die toegang tot het systeem heeft zijn rechten kan verhogen. Hoewel de kwetsbaarheid geen impact heeft op de encryptie die TrueCrypt biedt kwam het lek uitgebreid in het nieuws.
Vorig jaar besloten de ontwikkelaars van TrueCrypt namelijk de ondersteuning van de encryptiesoftware te stoppen. Desondanks blijft het voor veel gebruikers de geprefereerde optie voor het versleutelen van zowel bestanden als complete systemen. Doordat de ondersteuning is gestopt worden gevonden kwetsbaarheden niet meer verholpen. Google-onderzoeker James Forshaw meldde onlangs twee kwetsbaarheden in TrueCrypt en het afgeleide VeraCrypt, dat nog wel wordt ondersteund.
De eerste kwetsbaarheid is gevaarlijker, omdat iemand met een beperkt gebruikersaccount systeem- of zelfs kernelrechten kan krijgen. De tweede kwetsbaarheid laat een ongeautoriseerde gebruiker een actief gebruikt TrueCrypt-volume loskoppelen. Om beide lekken te kunnen gebruiken moet een aanvaller op de computer in kunnen loggen. Daarnaast is het niet mogelijk om via de kwetsbaarheden informatie te ontsleutelen.
Audit
Het beveiligingslek was ook opvallend omdat TrueCrypt vorig jaar nog was geaudit, maar dit probleem niet was gevonden. Volgens Forshaw kan dit worden verklaard omdat de aanvalsvector die hij gebruikte niet bij de onderzoekers bekend was. Daarnaast is de code van Windowsdrivers meestal niet door een aanvaller uit te buiten, wat bij deze kwetsbaarheid wel het geval is. De manier waarop Windows door de jaren heen met drivers en symbolische links omgaat is door Microsoft veranderd. Dit heeft Microsoft echter niet goed gedocumenteerd, aldus Forshaw. Volgens de onderzoeker is het dan ook lastig om de schuld bij zowel de TrueCrypt-ontwikkelaars als auditors te leggen dat dit soort kwetsbaarheden er doorheen glippen.
In mijn optiek is dit een combinatie van zwakheden van Windows en Truecrypt. Niet van Truecrypt. Beetje gehypt IMHO.
Microsoft Security Bulletin MS15-111 - Important
[...]
Windows Mount Point Elevation of Privilege Vulnerability - CVE-2015-2553
An elevation of privilege vulnerability exists when Windows improperly validates junctions in certain scenarios in which mount points are being created. An attacker who successfully exploited this vulnerability could potentially run arbitrary code in the security context of the user running a compromised application.
To exploit this vulnerability, an attacker would most likely have to leverage another vulnerability that allows them to run arbitrary code in a sandboxed application. The update addresses the vulnerability by correcting how Windows handles certain scenarios involving junction and mount-point creation.
This vulnerability has been publicly disclosed. It has been assigned Common Vulnerability and Exposure number CVE-2015-2553. At the time this security bulletin was originally issued, Microsoft was unaware of any attack attempting to exploit this vulnerability.
[...]
Overigens werkt TrueCrypt nog probleemloos op mijn W7 x64 systeem met MS15-111 geïnstalleerd.
Aanvulling 11:50: als TrueCrypt hier kwetsbaar voor is (en Veracrypt er kwetsbaar voor was), zou ook andere disk encryption software hier wel eens kwetsbaar voor kunnen zijn. Weet iemand meer?
Waar ik wel voor wil waarschuwen is voor VeraCrypt, want bij het testen (op andere systemen dan Windows) ben ik geen goede gebruikservaringen tegen gekomen bij VeraCrypt, terwijl TrueCrypt echt probleemloos functioneert. Ik vraag mij daarom af of niet een Audit voor deze Fork moet worden opgezet.
Dat is zwz het geval en ook de reden dat ik nog eventjes van Veracrypt afblijft. Veracrypt heeft natuurlijk z'n eigen code die niet onder de audit valt, waardoor deze dus z'n eigen bugs kan hebben.
En alhoewel deze bugs uitgebreid in het nieuws is gekomen, moet de aanvaller eerst toegang hebben voordat deze exploits gebruikt kunnen worden.
Waar ik wel voor wil waarschuwen is voor VeraCrypt, want bij het testen (op andere systemen dan Windows) ben ik geen goede gebruikservaringen tegen gekomen bij VeraCrypt, terwijl TrueCrypt echt probleemloos functioneert.
Draai al een paar maanden als test met Veracrypt op Linux Mint, het openen van een Veracrypt container gaat iets langzamer dan met Truecrypt. Maar voor de rest geen enkel probleem tot nu toe.
TheYOSH
Security is ook niet altijd apple zijn sterkste punt.
En communicatie helemaal niet.
Misschien moet Apple eens aan de IT wereld luisteren?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
