Ich habe eine kritische Analyse über Truecrypt gefunden:
http://www.privacy-cd.org/downloads/truecrypt_7.0a-analysis-de.pdf (Archiv-Version vom 08.06.2013)Auschnitte:
Die TrueCrypt Lizenz
TrueCrypt verwendet kryptographischen Code aus fünf verschiedenen Quellen: von der TrueCrypt-
Foundation selbst, von Paul Le Roux, Brian Gladman, Mark Adler und Eric Young. Daher enthält
die TrueCrypt-Lizenz in ihrer aktuellen Version 3.0 neben den eigenen Bestimmungen der True-
Crypt-Foundation drei weitere Abschnitte mit Bestimmungen von Paul Le Roux, Brian Gladman
und Mark Adler (von Eric Young wird keine eigener Lizenzteil beigefügt aber erwähnt). Soweit ist
das wohl historisch bedingt, da TrueCrypt zum Teil als Weiterentwicklung von „Encryption for the
7Masses“ (E4M) von Paul Le Roux entstanden ist. Aber auch die eigenen Lizenz-Bestimmungen
der TrueCrypt-Foundation sind inkompatibel mit der „GNU General Public License“ (GPL). Das ver-
kompliziert den rechtlichen Status von TrueCrypt. Falls andere einmal die Entwicklung von True-
Crypt fortführen wollen, etwa weil die TrueCrypt-Foundation die Pflege des Programms eingestellt
hat, so wäre das zumindest rechtlich sehr problematisch. Auch die großen Linux-Distributoren
Debian, Ubuntu, Fedora, openSUSE und Gentoo betrachten TrueCrypt nicht als Open-Source-Pro-
dukt (siehe
Wikipedia: TrueCrypt#Licensing) und weigern sich konsequenter Weise
auch Pakete dafür bereit zu stellen.
Webseite und Dokumentation von TrueCrypt
Die Präsentation von TrueCrypt macht für ein Open-Source-Projekt einen etwas verschlossenen
Eindruck. So kann man von der Webseite nur die letzte Version (derzeit 7.0a) und wenige ältere
Versionen (für Linux gegenwärtig zusätzlich nur noch die Version 6.3a) herunter laden. Bug-Re-
ports, die im Diskussionsforum nicht erwünscht sind und über ein eigenes Formular eingegeben
werden sollen, werden nicht veröffentlicht. Auch die Teile des Forums, die sich mit Problemen
befassen, kann man nur als angemeldeter Benutzer lesen. Auf Vorschläge und Hinweise unserer-
seits, sowohl per Email an die auf der TrueCrypt Webseite veröffentlichten Email-Adressen wie
auch als Beiträge im TrueCrypt-Forum, haben die Entwickler bisher überhaupt nie reagiert. Dies
änderte sich jedoch, als wir Ihnen den hier vorgestellten Angriff auf TrueCrypt Schlüssel-Dateien
schickten. Wir bekamen umgehend eine Antwort darauf, die wir gemeinsam mit der Darlegung des
Angriffs im Abschnitt 7 diskutieren.
(...)
8. Schlussfolgerungen
TrueCrypt in der Version 7.0a ist ein sehr sicheres Programm zur Verschlüsselung von Containern
auf dem aktuellen Stand der wissenschaftlichen Forschung. In dem veröffentlichten Quellcode
waren keine sicherheitsrelevanten Fehler oder Hintertüren zu entdecken mit Ausnahme unseres
Angriffs auf die Schlüssel-Dateien. Wenn man dieses Programm in einer sicheren Umgebung wie
Ubuntu privacy remix einsetzt, kann man mit hoher Sicherheit davon ausgehen, dass niemand an
die damit verschlüsselten Daten in den Containern herankommt, sofern die Container geschlossen
sind, das verwendete Passwort nicht zu schwach ist und der Angreifer nicht sehr fortgeschrittene
Methoden unterhalb der Ebene des Betriebssystems wie BIOS-Rootkits, Hardware-Keylogger oder
Video-Überwachung anwendet.
Ein grundsätzliches Problem besteht bezüglich der Überprüfung der auf der TrueCrypt-Webseite
veröffentlichten Binärpakete. Ohne ein extrem aufwendiges sogenanntes „reverse engineering“
kann nicht festgestellt werden, ob diese Binärpakete tatsächlich aus dem veröffentlichten Quell-
code erzeugt wurden oder in Teilen etwas anderes machen. So kann nicht ausgeschlossen wer-
den, dass diese Binärpakete eine Hintertür enthalten, die im veröffentlichten Quellcode nicht vor-
handen ist. Eine solche Hintertür könnte darin bestehen, dass die im Dateikopf eines TrueCrypt-
Containers notwendigerweise vorhandenen Zufallswerte durch eine Zweitverschlüsselung des
Master-Schlüssels zum Container ersetzt werden. Das lässt sich auch mit unserem Analysepro-
gramm tcanalyzer anhand des erzeugten Containers nicht mehr feststellen. Aus diesem
Grunde empfehlen wir, TrueCrypt selbst aus dem Quellcode zu erzeugen, um kein blindes Ver-
trauen in die TrueCrypt-Foundation setzen zu müssen. Im Abschnitt 3 haben wir detailliert
beschrieben wie das bewerkstelligt werden kann.
