Das Veracrypt-Audit-Projekt machte zuletzt mit der Vermutung Schlagzeilen, abgehört zu werden. Nun ist das Audit abgeschlossen, in seinem Verlauf wurden einige kritische Sicherheitslücken entdeckt, die teilweise bereits gefixt wurden.
Mitte August kam von Ostif, der Organisation, die den Veracrypt-Audit in Auftrag gab, noch eine Abhör-Warnung. Nun liegen die Ergebnisse des Audit vor. Tatsächlich hat der beauftragte Audit-Partner Quarklabs diverse Sicherheitslücken gefunden. Insgesamt sind es 26 Verwundbarkeiten, darunter immerhin acht kritische. Drei Lücken ordnet Quarklabs als mittelschwer ein, 15 als wenig gefährlich.
Die gute Nachricht: Einige der Lücken wurden laut der Ostif-Ankündigung für die neue Veracrypt-Version 1.19 bereits geschlossen. Allerdings nicht alle. Die Komplexität der vorgeschlagenen Fixes für einige der Lücken sei zu hoch, daher schlage die Dokumentation in diesen Fällen Workarounds vor.
Die Ankündigung der Audit-Resultate listet zudem einige der Reparaturen der Version 1.19 im Detail auf. So haben die Entwickler die unsichere GOST-28147-89-Chiffre entfernt. Mit dieser verschlüsselte Geräte lassen sich allerdings weiterhin entschlüsseln. Xzip und Xunzip haben die Entwickler zugunsten modernerer Zip-Bibliotheken (Libzip) entfernt.
Weiterhin lässt sich die Passwortlänge im klassischen Bootloader nicht mehr bestimmen, löscht die Software im neuen Bootloader die Tastaturanschläge nach dem Authentifizieren und andere sensible Daten. Behoben wurde für diesen auch eine Memory Corruption und einige weitere Angriffspunkte, wie etwa toter Code, Null Pointer und inkonsistente Lesevorgänge von Daten.
Ostif bedankt sich schließlich nicht nur bei den Sponsoren des Audits, zu denen unter anderem Duck Duck Go und Viking VPN gehören, sondern verlinkt im Blogeintrag auch das finale PDF zum Audit [Link auf PDF].
