IT-säkerhetsgranskning av VeraCrypt

veracrypt granskning

Det franska cybersäkerhetsföretaget  har utfört en publik it-säkerhetsgranskning av VeraCrypt är en populär uppföljare till det numera nedlagda projektet . Granskningen har bekostats av organisationen OSTIF och backas upp finansiellt av bl.a. DuckDuckGo och .

Granskningen fokuserar på sådant som inte granskas av tidigare projekt såsom den som NCC Group utförde av TrueCrypt (jag skrev om det här). Och sådant nytt som granskningen inkluderar är:

  • DCS EFI Bootloader 1.18 (UEFI)
  • , , ,
  • Stöd för att expandera volymer
  • Stöd för Unicode på Windows
  • StrSafe istället för string.h
  • Musrörelser för att öka på entropi

Sådant som ej granskats är följande: Mac OS X/Sierra stödet, Linux-stöd samt diagonstik-verktyget.

För oss som jobbar med IT-säkerhetsgranskningar är det alltid intressant att läsa denna typ av rapport och det finns alltid något att lära av. Granskningen uppdagade följande sårbarheter:

  • 8 kritiska sårbarheter
  • 3 medium-klassade sårbarheter
  • 15 lågt klassade eller info-läckage

Sådant som uppdagats av granskningen är åtgärdat i version 1.19 av VeraCrypt. Och några av åtgärderna som genomfördes av VeraCrypto-projektet är följande:

  • Stöd för att skapa nya volymer med GOST 28147-89 är borttaget.
  • Biblioteken för  XZip och XUnzip var ej uppdaterade och är nu borttagna och har ändrats till libzip.
  • Åtgärd för att en angripare kan avgöra lösenordets längd i bootloader. Även åtgärder för att försöka säkerställa att lösenord raderats från UEFI har genomförts.
  • Fix för att förhindra minnesöverskrivning när återställningsdisk läses in.

Här nedan kan du ladda hem den 44-sidiga granskningsrapporten i sin helhet i PDF-format. Granskningen tog 32 arbetsdagar för två personer:

veracrypt-granskning

Skriv en kommentar

Du kan använda följande HTML HTML:
<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>