TrueCrypt soll professionelles Security-Audit erhalten

Das Verschlüsselungs-Werkzeug TrueCrypt ist seit vielen Jahren eines der beliebtesten Tools bei sicherheitsbewussten Anwendern - doch bisher hat noch niemand umfassend überprüft, ob das Vertrauen gerechtfertigt ist. Das soll sich nun ändern. Die Veröffentlichungen über die Überwachungsprogramme der NSA und anderer Geheimdienste hatten in den letzten Wochen auch intensive Diskussionen in der Security- und Hackerszene nach sich gezogen, welchen Programmen man bei der Verschlüsselung vertrauen kann. Da die Auswahl hier nicht gerade besonders groß ist, kam man letztlich zu dem Schluss, dass die verfügbaren Anwendungen noch einmal sehr genau auf Fehler untersucht werden sollten, um Angriffspunkte der Überwachungsbehörden auszuschalten.

Vor allem TrueCrypt geriet dabei in den Focus, da das Tool bei sehr vielen Anwendern im Einsatz ist und auch vieles von dem umsetzt, was man sich von Krypto-Programmen wünscht: So ist es einfach zu nutzen und deckt trotzdem bewährte Verschlüsselungsverfahren ab.

Am Montag wurde von einigen Leuten eine Spendensammlung gestartet, mit deren Ertrag erstmals eine umfassende professionelle Sicherheits-Prüfung durchgeführt werden soll. Binnen weniger Tage sind inzwischen schon 16.000 Dollar zusammengekommen. Dabei kam allerdings der größte Einzelbetrag von 10.000 Dollar von einem US-Sicherheitsunternehmen.

Im Zuge des Audits soll der Quellcode und die Architektur des Tools komplett durchleuchtet werden. Aber auch andere Punkte sollen in Angriff genommen werden, wenn genügend Geld zusammenkommt. So will man möglichst auch eine verbindliche Bewertung der Lizenz vornehmen lassen. Diese entspricht bisher nach verschiedenen Einschätzungen nämlich noch nicht den Ansprüchen, die an freie Software gestellt werden.

Weiterhin will man ein sicheres Build-Verfahren implementieren, wie es beispielsweise auch beim Anonymisierungs-Netz Tor zum Einsatz kommt. Dadurch soll sichergestellt werden, dass Anwender darauf vertrauen können, eine vertrauenswürdige Binary zu erhalten, ohne TrueCrypt selbst auf dem eigenen Rechner kompilieren zu müssen. Letztlich würde man auch gern ein Bug Bounty-Programm einrichten, um Entwickler anzuspornen, weiterhin nach Sicherheitslücken in der Software zu suchen.