开源加密软件TrueCrypt安全审计结束 - APT防御产品

开源加密软件TrueCrypt安全审计结束

TrueCrypt是一款流行的开源文件加密软件,该软件用户包括大量的“敏感人士”(如商人、政要、记者),因此其安全性一直广受关注。

2014年5月,开源加密软件TrueCrypt突然在其官网上警告Windows用户改用微软的BitLocker加密磁盘,并用大红字警告使用TrueCrypt不安全。

放心用吧,没后门

面对诸多针对TrueCrypt是否藏后门的担心,来自NCC安全审计人员和密码学专家对TrueCrypt进行了安全审计全方位的安全审计,好在结果让人长舒口气:

"TrueCrypt是一款相对设计优秀的加密软件,NCC审计没有发现软件存在后门的证据,或是任何可能导致软件不安全的严重的设计漏洞。"

一年前ISEC完成对TrueCrypt的第一阶段代码审计,虽然没有发现重大安全问题,不过发现了11个中等和低危的软件漏洞。

此次NCC的审计人员日前发表了一份长达21页的公开报告,公开了对TrueCrypt的随机数生成程序和关键密钥算法等加密方法的检查结果。

漏洞描述

报告中披露了TrueCrypt中的4个漏洞,不过这些漏洞都不影响到加密性。

1、密钥文件的混合从密码学角度上说不够彻底———低危
2、加密卷头部有未授权的密文——待定
3、CryptAcquireContext在某些场景下可能会失败——高危
4、AES加密可能受"缓存时序攻击"影响——高危


转载请注明出处 APT防御产品 » 开源加密软件TrueCrypt安全审计结束

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址