Trotz Prüfung: Neue Sicherheitslücken in TrueCrypt entdeckt

Trotz des umfassenden Code-Audits sind zwei Sicherheitslücken in der Verschlüsselungs-Software TrueCrypt bisher nicht entdeckt worden. Über diese informierte nun der Sicherheitsforscher James Forshaw von Googles Project Zero die Öffentlichkeit. Ein Fehler wird dabei als kritisch eingestuft. Die Sicherheitslücken sind unter den Kennungen CVE-2015-7538 und CVE-2015-7539 in die einschlägigen Datenbanken eingegangen. Das Kernproblem besteht nun darin, dass TrueCrypt keine Aktualisierung erfahren wird. Der Entwickler der Software hatte seine Arbeit vor einiger Zeit endgültig eingestellt. Weiter geht es für jene, die das Krypto-Tool benötigen, aber mit dem Ableger VeraCrypt.


Bereits am Wochenende stellten dessen Entwickler ein Update bereit. In der neuen Fassung VeraCrypt 1.15 sollen die Schwachstellen behoben worden sein. Daher ist nicht nur jenen ein Update dringend anzuraten, die bereits mit dem Werkzeug arbeiten. Auch alle, die noch immer TrueCrypt verwenden, sollten besser auf den Nachfolger umsteigen.

Tiefergehende Informationen zu den Sicherheitslücken veröffentlichte Forshaw bislang nicht. Dies will er frühestens in einigen Tagen tun, wenn die Nutzer ausreichend Zeit hatten, eine aktuellere Software-Version auf ihre Systeme aufzuspielen. Nur soviel: Die als kritisch eingestufte Sicherheitslücke findet sich in einem Treiber, den das Krypto-Tool unter Windows installiert. Dieser ermöglicht es einem Angreifer unabhängig von den Rechten des angemeldeten Benutzers weitergehende Systemrechte zu erlangen und so eigenen Code tief einzuschleusen.

Der betroffene Treiber wurde im Code-Audit durchaus auch unter die Lupe genommen. Die Tatsache, dass der Fehler dabei nicht entdeckt wurde, nimmt Forshaw aber nicht zum Anlass für Vorwürfe: "Windows-Treiber sind komplexe Biester", kommentierte er die Angelegenheit und fügte hinzu, dass gerade Probleme bei der Rechtezuordnung hier leicht einmal übersehen werden können.

Download VeraCrypt 1.15 - TrueCrypt-Nachfolger