L'audit de TrueCrypt est terminé

Vous vous souvenez de l‘audit de TrueCrypt lancé en octobre 2013 via une campagne de financement participative ? Et bien cet Open Crypto Project vient d’aboutir y’a pas 20 min et rendu public.

Cet audit portait sur la version 7.1a pour Windows, c’est à dire, la dernière de “confiance” avant le blackout organisé par, semble-t-il, les américains (NSA ?). Les experts qui l’ont analysé ont donc utilisé à la fois les sources et la version compilée pour tester l’ensemble des API. Par contre, ils n’ont pas eu recours à des techniques de reverse engineering.

Les chercheurs se sont surtout concentré sur des erreurs de développement qui pourraient mener à la fuite en clair d’une clé ou d’un contenu, ainsi qu’aux possibilités de provoquer des défaillances dans le logiciel pour pervertir sa sécurité. Ils ont aussi évalué le générateur de nombres aléatoires afin de voir si celui-ci était suffisamment fiable pour éviter de prédire par quelque moyen que ce soit, les clés ou une partie de celles-ci.

Et au total, ce sont donc 4 vulnérabilités qui y ont été détectées. 2 fortes et 2 faibles. Décrites dans le document, ces 4 problèmes ne permettent pas de contourner la sécurité lors d’un usage normal de TrueCrypt, à savoir se créer un conteneur chiffré et l’utiliser.

Par contre, lors de certains scénarios complexes, il est possible de foirer l’appel à une API Windows, ce qui peut provoquer une entropie plus faiblarde. Par exemple, si un utilisateur se crée un volume TrueCrypt et que les Stratégies de Groupes mises en place par l’administrateur bloquent l’accès au CSP (Cryptographic Service Provider), et bien cela peut engendrer des erreurs aléatoires pouvant faciliter les attaques par brute force.

Autre scénario, un attaquant pourrait extraire grâce à une technique dite de cache-timing, les clés AES utilisées pour protéger les volumes chiffrés. Mais pour cela, il devra pouvoir exécuter du code sur la machine de la victime.

Ce sont les 2 plus grosses failles. Le reste est de faible risque.

Les chercheurs apportent en fin de document leurs recommandations sur l’amélioration du code de TrueCrypt afin d’éliminer tout risque. Ces recommandations sont: continuer à améliorer le code, simplifier la logique applicative et mettre au point un log d’erreur un peu plus aggressif et détaillé.

Maintenant, la question est : est-ce que Truecrypt était backdooré ? La réponse est donc non. Sinon, ça se serait vu. Par contre, il existe bien des façons de faire qui pourrait mener à la fuite d’une clé ou au déchiffrement de documents. C’est loin d’être à la portée du premier venu, mais c’est possible. Au moins, maintenant, on sait :)

Si tout ça vous intéresse, le rapport est ici.