Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

L’audit de TrueCrypt est terminé

Vous vous souvenez de l‘audit de TrueCrypt lancé en octobre 2013 via une campagne de financement participative ? Et bien cet Open Crypto Project vient d’aboutir y’a pas 20 min et rendu public.

Cet audit portait sur la version 7.1a pour Windows, c’est à dire, la dernière de « confiance » avant le blackout organisé par, semble-t-il, les américains (NSA ?). Les experts qui l’ont analysé ont donc utilisé à la fois les sources et la version compilée pour tester l’ensemble des API. Par contre, ils n’ont pas eu recours à des techniques de reverse engineering.

Les chercheurs se sont surtout concentré sur des erreurs de développement qui pourraient mener à la fuite en clair d’une clé ou d’un contenu, ainsi qu’aux possibilités de provoquer des défaillances dans le logiciel pour pervertir sa sécurité. Ils ont aussi évalué le générateur de nombres aléatoires afin de voir si celui-ci était suffisamment fiable pour éviter de prédire par quelque moyen que ce soit, les clés ou une partie de celles-ci.

tc2

Et au total, ce sont donc 4 vulnérabilités qui y ont été détectées. 2 fortes et 2 faibles. Décrites dans le document, ces 4 problèmes ne permettent pas de contourner la sécurité lors d’un usage normal de TrueCrypt, à savoir se créer un conteneur chiffré et l’utiliser.

Par contre, lors de certains scénarios complexes, il est possible de foirer l’appel à une API Windows, ce qui peut provoquer une entropie plus faiblarde. Par exemple, si un utilisateur se crée un volume TrueCrypt et que les Stratégies de Groupes mises en place par l’administrateur bloquent l’accès au CSP (Cryptographic Service Provider), et bien cela peut engendrer des erreurs aléatoires pouvant faciliter les attaques par brute force.

Autre scénario, un attaquant pourrait extraire grâce à une technique dite de cache-timing, les clés AES utilisées pour protéger les volumes chiffrés. Mais pour cela, il devra pouvoir exécuter du code sur la machine de la victime.

Ce sont les 2 plus grosses failles. Le reste est de faible risque.

tc

Les chercheurs apportent en fin de document leurs recommandations sur l’amélioration du code de TrueCrypt afin d’éliminer tout risque. Ces recommandations sont: continuer à améliorer le code, simplifier la logique applicative et mettre au point un log d’erreur un peu plus aggressif et détaillé.

Maintenant, la question est : est-ce que Truecrypt était backdooré ? La réponse est donc non. Sinon, ça se serait vu. Par contre, il existe bien des façons de faire qui pourrait mener à la fuite d’une clé ou au déchiffrement de documents. C’est loin d’être à la portée du premier venu, mais c’est possible. Au moins, maintenant, on sait 🙂

Si tout ça vous intéresse, le rapport est ici.


Offrez un coup de jeune à votre Mac avec CleanMyMac X

Votre MAC rame…

Si votre Mac commence un peu à tirer la langue et/ou que vous voulez l’alléger des choses inutiles qui s’y accumulent au fil des années, jetez un oeil sur le soft CleanMyMac X.

L’idée derrière ce dernier est de mettre à disposition une boite à outils qui va regrouper plusieurs programmes d’optimisation. Il va par exemple nettoyer le contenu inutile, retirer les éventuels malwares ou encore monitorer en temps réel les performances de votre machine (CPU, mémoire, batterie…).

Il existe aussi une version windows

En Savoir + sur ses options