IT-säkerhetsgranskning av VeraCrypt

Det franska cybersäkerhetsföretaget QuarksLab har utfört en publik it-säkerhetsgranskning av VeraCrypt. VeraCrypt är en populär uppföljare till det numera nedlagda projektet TrueCrypt. Granskningen har bekostats av organisationen OSTIF och backas upp finansiellt av bl.a. DuckDuckGo och VikingVPN.

Granskningen fokuserar på sådant som inte granskas av tidigare projekt såsom den som NCC Group utförde av TrueCrypt (jag skrev om det här). Och sådant nytt som granskningen inkluderar är:

• DCS EFI Bootloader 1.18 (UEFI)
• Camellia, Kuznyechik, GOST 28147-89, Streebog
• Stöd för att expandera volymer
• Stöd för Unicode på Windows
• StrSafe istället för string.h
• Musrörelser för att öka på entropi

Sådant som ej granskats är följande: Mac OS X/Sierra stödet, Linux-stöd samt diagonstik-verktyget.

För oss som jobbar med IT-säkerhetsgranskningar är det alltid intressant att läsa denna typ av rapport och det finns alltid något att lära av. Granskningen uppdagade följande sårbarheter:

• 8 kritiska sårbarheter
• 3 medium-klassade sårbarheter
• 15 lågt klassade eller info-läckage

Sådant som uppdagats av granskningen är åtgärdat i version 1.19 av VeraCrypt. Och några av åtgärderna som genomfördes av VeraCrypto-projektet är följande:

• Stöd för att skapa nya volymer med GOST 28147-89 är borttaget.
• Biblioteken för  XZip och XUnzip var ej uppdaterade och är nu borttagna och har ändrats till libzip.
• Åtgärd för att en angripare kan avgöra lösenordets längd i bootloader. Även åtgärder för att försöka säkerställa att lösenord raderats från UEFI har genomförts.
• Fix för att förhindra minnesöverskrivning när återställningsdisk läses in.

Här nedan kan du ladda hem den 44-sidiga granskningsrapporten i sin helhet i PDF-format. Granskningen tog 32 arbetsdagar för två personer: