Ein Blogeintrag zu verschwundenen E-Mails legt nahe, dass die Kommunikation zu einer geplanten Veracrypt-Sicherheitsüberprüfung belauscht wird.
Ostif steht für Open Source Technology Improvement Fund. Die Organisation ist seit Februar 2016 ein anerkanntes amerikanisches Non-Profit-Unternehmen, das mit Spendengeldern Open-Souce-Software verbessern möchte. Unter anderem hat es Anfang August mit Geld von Duck-Duck-Go und Viking VPN einen Audit-Partner für das Veracrypt-Projekt gefunden. Quarklabs soll die Sicherheit des Truecrypt-Nachfolgers Veracrypt überprüfen und über seine Fundstücke berichten.
Im Vorfeld hatte man festgelegt, dass Quarklabs über sämtliche gefundene Schwachstellen, darunter potenzielle Zero Days, direkt und verschlüsselt an den Hauptentwickler des Veracrypt-Projekts berichten solle. Die Pläne standen so auch in einem offiziellen Blogeintrag, der den Audit ankündigte. Für diesen Zweck habe man eine mit PGP verschlüsselte Kommunikation zwischen Vertretern von Ostif, Quarklabs und dem Hauptentwickler von Veracrypt aufgesetzt und darüber bereits Informationen über Verwundbarkeiten der Software, über Prozesse und Prozeduren sowie vertrauliche Informationen über den Audit ausgetauscht.
Nun seien in diesem Prozess offenbar vier E-Mails verschiedener Sender spurlos verschwunden. Sie hätten ihr Gegenüber nicht erreicht, würden aber auch nicht im “Sent”-Folder auftauchen. Im Fall von Ostif habe man die Google-Apps-Business-Variante von Gmail verwendet. Das Projekt glaubt nun, von Dritten abgehört zu werden, die in den Audit-Prozess eingreifen wollen. Offenbar vermutet zumindest Ostiv Nationalstaaten hinter den verschwundenen E-Mails:
"If nation-states are interested in what we are doing we must be doing something right. Right?"
Aufgrund der Entwicklung greife man nun zu Alternativen in der verschlüsselten Kommunikation. Die Untersuchung des Veracrypt-Codes soll von Mitte August bis Mitte September dauern. Die Ergebnisse will man veröffentlichen, sobald gefundene Sicherheitslücken gepatcht wurden.
