МАТЕРИАЛИ
Установено: TrueCrypt криптира надеждно статичното съдържание
В средата на миналата година проектът TrueCrypt (осигуряващ пълно дисково криптиране и признат за един от най-надеждните сред своите потребители) беше прекратен внезапно след повече от 10 години съществуване. Твърде съмнителни инструкции към потребителите да преминат към откровено несъстоятелни решения като BitLocker на Microsoft породиха многобройни спорове за действителната причина проектът да бъде прекратен. Истинската причина остана в сферата на конспирациите, но вероятно има общо с натиска, оказан за прекратяването например на проекта за шифрована e-mail комуникация „Lavabit“ и все по-настойчивите усилия на службите за сигурност да компрометират надеждните системи за криптиране и такива за информационна сигурност.
Оставяйки настрана истинските причини за прекратяване на проекта TrueCrypt, Институтът за сигурни информационни технологии „Фраунхофер“ (Fraunhofer SIT) се зае със задачата да подложи програмния код на TrueCrypt на задълбочен одит и да установи дали действително има пробиви в неговата сигурност. В своя подробен доклад от 77 страници специалистите от Института достигнаха до категорично заключение, че TrueCrypt е действително надежден и твърденията, с които беше „оправдано“ прекратяването му, са неверни.
Докладът на Fraunhofer SIT излезе около месец след констатирането на 2 неизвестни досега уязвимости в TrueCrypt от страна на специалистите по информационна сигурност от Project Zero на Google и разкрива още няколко слабости, които обаче не са критични за сигурността. Съгласно заключенията на специалистите от Fraunhofer SIT, софтуерът TrueCrypt е напълно надежден при криптирането на статична информация (не такава, която се съхранява в паметта и се използва текущо). Откритите пропуски в програмния код не могат да компрометират защитените данни, когато са разположени на несвързан (unmounted) носител. Рискове за сигурността – както можем да прочетем и в издадените насоки от самите автори на TrueCrypt – са налице само при текущо използване на криптираното съдържание, когато то е свързано (mounted) и разкриптирано.
„Изглежда на много хора не им е ясно, че TrueCrypt по същество не е подходящ да пази данни срещу атакуваща страна, които имат чест достъп до включена система – отбелязват специалистите на Fraunhofer SIT. – Това е така, защото когато TrueCrypt-устройство се намира в активно (разкриптирано) състояние, данните, намиращи се в него, са широко достъпни посредством файловата система и ако някой има постоянен достъп до системата, може да инсталира зловреден софтуер, който да достигне до съдържанието в множество сценарии. Ако обаче не е монтирано въпросното устройство и няма ключ, който да се пази в паметта, криптираните с TrueCrypt данни са наистина защитени.“
