TrueCrypt est un logiciel connu servant à chiffrer intégralement le contenu d’un disque dur ou d’un périphérique de stockage. Gratuit et open source, il fait l’objet d’un audit en deux parties, dont la première vient de révéler ses résultats : TrueCrypt ne contient aucune porte dérobée, mais plusieurs failles de sécurité ont bien été détectées.
Pas de porte dérobée
En octobre dernier, une demande répétée d’un audit de sécurité complet dans la solution TrueCrypt avait mené à une campagne d’appel aux dons afin de financer l’opération. Plus de 48 000 dollars avaient ainsi été récupérés, dont 10 000 obtenus sur le don unique réalisé par la société Ionic Security. Après plusieurs mois de discussions et de mise en place, la première partie de cet audit conséquent vient de livrer ses premiers résultats.
Réunis dans un document d’une trentaine de pages, ils sont globalement positifs. TrueCrypt a ainsi vu son code analysé de fond en comble et la société iSec, chargée de l’étude, indique ainsi que le logiciel ne contient aucune porte dérobée. Si cette « trouvaille » semble tomber sous le sens, il faut savoir que la solution est particulièrement utilisée et que le contexte général de la sécurité a particulièrement changé depuis les premières révélations d’Edward Snowden sur les activités de la NSA.
Des failles à colmater et des problèmes à régler
Pour autant, même si iSec n’a mis la main sur aucun code volontairement malveillant, elle a quand même révélé une série de failles de sécurité et indiqué que plusieurs aspects devraient être améliorés. Parmi les brèches, aucune n’est de rang « critique » mais quatre sont quand même classées dans la catégorie « moyenne ».
Il faut savoir en outre que durant cette première partie de l’audit, seule la version Windows du logiciel a été examinée, étant de loin la plus utilisée. Or, dans le code source, iSec a détecté plusieurs éléments problématiques. D’une part, un manque de commentaires qui perturbent la lecture dudit code. D’autre part, l’utilisation de fonctions devenues obsolètes dans Windows ou qui sont reconnues comme non sécurisées. Enfin, l’utilisation de types de variables incohérents. Plusieurs autres problèmes de cet acabit ont été pointés, mais iSec tient à mettre en avant la qualité de la documentation fournie par le site officiel.
Matthew D. Green, professeur de cryptographie à l’université Johns Hopkins, a indiqué à Ars Technica que les résultats n’étaient en fait pas réellement surprenants : « Je pense que la qualité du code n’est pas aussi bonne qu’elle devrait être, mais d’un autre côté, il n’y a rien d’horrible non plus, c’est donc rassurant ». Il indique d’ailleurs que la deuxième phase de l’audit se penchera plus spécifiquement sur le chiffrement lui-même des données.
Commentaires (65)
#1
Si ça pouvait faire évoluer les comportement côté développement :
Quand on voit de grosses boîtes comme Blizzard qui ont des régressions monstrueuses avec leurs patchs “correctifs”, on devine tout de suite qu’elles n’ont pas utiliser ce genre d’outils pendant des années, en espérant que ça soit le cas maintenant.
#2
Audit de securité , c est une bonne chose mais cet article amene plusieurs remarques de ma part :
#3
#4
#5
#6
#7
Tu peux toujours vérifier mathématiquement comme le fait Microsoft maintenant pour le noyau de Windows, mais à mon avis, c’est pas dans les moyens de tout le monde
" />
#8
#9
#10
#11
#12
#13
#14
#15
#16
#17
#18
Ionic SECurity et ISec, rien à voir?
#19
A quand le même genre d’audit sur keepass et ses extensions ?
" />
#20
Quelle niveau de confiance peut-on avoir dans la société iSec qui a audité le code source ?
#21
Comment cela se passe en réalité
" />
Après ,j’aurai pu mettre celle où le mec code et dit qu’il corrigera son code plus tard et qu’au final, son collègue le reprends et repart de zéro
#22
#23
#24
#25
#26
la société iSec, chargée de l’étude, indique ainsi que le logiciel ne contient ne semble contenir aucune porte dérobée
#27
#28
#29
#30
#31
#32
#33
#34
C’est pas comme si Truecrypt etait encore développé….
Ca fait plus de 2ans que aucune version n’a vu le jour
#35
#36
#37
#38
#39
#40
#41
#42
#43
Question bête… iPSEC, c’est une boite américaine. Qu’est-ce quinous dit que cet audit n’est pas “enjolivé” par la NSA sous couvert du Patriot Act ?
#44
#45
#46
#47
#48
Je veux pas troller, ou si peu.. mais la sécurité de l’ensemble est limité à celle de sa partie la plus faible, non?
" /> ?
Donc la sécu d’un prgm tournant sous W$:
#49
#50
#51
Concernant la confiance à accorder à iSec, je note simplement qu’elle a publié les résultats de son audit.
Alors bon, je vais vois débouler les sarcasmes sur le fait qu’on est bien avancé si on peut auditer l’audit, mais c’est pas si différent d’accorder sa confiance à du code open ou libre sous prétexte qu’on peut l’auditer soi-même sans jamais le faire.
#52
#53
Effectivement, TrueCrypt ne subit plus de màj depuis un moment, ça serait bien que cet audit aboutisse à un changement de licence vers une vraie licence libre, la mise en place d’un bugtracker par ex.
#54
#55
#56
#57
#58
#59
#60
#61
#62
#63
#64
Un banquier brésilien indélicat avait chiffré des données compromettantes avec TC, le HDD est parti au FBI après un échec des services de police brésiliens à lire les données. Il est revenu intact, échec aussi.
#65