Sécurité

L’examen de sécurité ne trouve aucune faille critique dans Truecrypt 7.1a – High-teK.ca

Ce site peut gagner des commissions d’affiliation à partir des liens sur cette page. Conditions d’utilisation.

Pendant des années, si vous vouliez une suite de chiffrement de disque multiplateforme qui ne reposait pas sur Microsoft ou Apple, vous avez opté pour Truecrypt. La suite logicielle populaire a été jugée suffisamment influente et importante pour mériter d’être auditée – c’est pourquoi elle était si surprenante l’année dernière lorsque ses créateurs ont fermé boutique et essentiellement fermé le produit, affirmant que des failles critiques dans Truecrypt 7.1a pourraient subsister et être exploitées . À l’époque, un audit de sécurité public du logiciel venait de commencer. Maintenant que c’est fini, l’équipe d’audit a-t-elle trouvé quelque chose pour expliquer pourquoi les auteurs de Truecrypt se sont enfuis ?

En un mot, non. Truecrypt n’est pas parfait, mais l’équipe n’a trouvé aucune preuve d’une faille critique qui aurait compromis la sécurité des volumes chiffrés.

Risque vs sophistication

Le rapport complet est disponible à télécharger. L’équipe n’a pas testé de manière exhaustive chaque fonctionnalité du programme, mais s’est concentrée sur ses principales capacités de chiffrement/déchiffrement, notamment :

  • EncryptDataUnits & DecryptDataUnits et appels de fonction résultants
  • EncryptBuffer et DecryptBuffer
  • Dérivation de clé (derive_key_* de EncryptionThreadProc)
  • Lire l’en-tête du volume
  • Les constructions en cascade et AES en mode XTS.

L’une des quatre failles détectées, et sans doute la plus grave, était couplée à une défaillance silencieuse de la fonction CryptAcquireContext. Truecrypt utilise exceptionnellement ce processus pour générer des nombres aléatoires. Mais si l’utilisateur travaille sur un système avec certaines restrictions de stratégie de groupe en place, la commande peut échouer et revenir à des sources non sécurisées de génération de nombres aléatoires. L’implémentation d’AES dans Truecrypt et sa dépendance aux tables de consultation l’exposent également au risque d’attaques dites de synchronisation du cache. Selon OpenCryptoAudit :

Psssssst :  Cocoon devient gratuit : navigation Firefox sécurisée et privée - High-teK.ca

« Un attaquant peut être en mesure d’extraire les clés AES utilisées pour protéger les volumes chiffrés. Un exploit réussi peut dépendre de la capacité de l’attaquant à exécuter du code natif sur la machine de la victime.

Ces deux défauts (et les deux autres problèmes moins risqués) sont des problèmes qui pourraient être corrigés ou considérablement atténués, et aucun ne représentait une menace fondamentale pour le fonctionnement de base du programme.

Ce que l’équipe d’audit n’a pas trouvé

Dans les mots du cryptographe Matthieu Vert, « Sur la base de cet audit, Truecrypt semble être un logiciel de chiffrement relativement bien conçu. L’audit de la NCC n’a trouvé aucune preuve de portes dérobées délibérées ou de graves défauts de conception qui rendraient le logiciel non sécurisé dans la plupart des cas.

Il s’agit du deuxième audit auquel Truecrypt a été soumis, soit deux de plus que la plupart des autres suites de sécurité multiplateformes gratuites. Même les fourches de Truecrypt, comme Ciphershed et VeraCrypt, n’ont pas encore été auditées – et bien que les développeurs de VeraCrypt aient publiquement déclaré qu’ils corrigeraient les défauts de Truecrypt, il est également possible (malgré les meilleures intentions et compétences) que les équipes derrière VeraCrypt et Ciphershed pourraient introduire de nouveaux bogues qui n’étaient pas présents dans Truecrypt.

Il y a ceux qui pensent que les remarques cryptiques faites par les développeurs de Truecrypt sont la preuve d’une porte dérobée horrible, encore inconnue. D’autres ont fait valoir que la meilleure façon de dissuader la communauté de la sécurité d’utiliser un programme très efficace serait de planter de fausses preuves qu’il pourrait avoir une faille critique. Il y aura toujours des questions sur Truecrypt – mais il est au moins bon de savoir que la base de code VeraCrypt et Ciphershed que vous utilisez semble être sécurisé.

Psssssst :  Le déverrouillage du visage Pixel 4 de Google fonctionne si vous avez les yeux fermés, et c'est mauvais

Bouton retour en haut de la page