搜索

[9574] 2015-11-24_TrueCrypt漏洞分析：比人们想象的更加安全

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2015-11-24_TrueCrypt漏洞分析：比人们想象的更加安全 T r u e C r y p t 漏 洞 分 析 ： 比 人 们 想 象 的 更 加 安 全 d a w n e r   F r e e B u f   2 0 1 5 - 1 1 - 2 4 T r u e C r y p t 是 一 款 被 数 以 百 万 计 的 安 全 隐 私 爱 好 者 所 喜 爱 的 数 据 加 密 工 具 ， 但 是 最 近 它 爆 出 了 一 些 漏 洞 。 然 而 ， 据 知 是 一 款 被 数 以 百 万 计 的 安 全 隐 私 爱 好 者 所 喜 爱 的 数 据 加 密 工 具 ， 但 是 最 近 它 爆 出 了 一 些 漏 洞 。 然 而 ， 据 知 名 信 息 安 全 技 术 研 究 所 名 信 息 安 全 技 术 研 究 所 F r a u n h o f e r 出 的 一 份 安 全 分 析 报 告 称 ， 它 可 能 还 是 要 比 人 们 想 象 的 要 安 全 一 些 。 出 的 一 份 安 全 分 析 报 告 称 ， 它 可 能 还 是 要 比 人 们 想 象 的 要 安 全 一 些 。 T r u e C r y p t 安 全 漏 洞 浅 析 安 全 漏 洞 浅 析 这 篇 长 达 7 7 页 的 报 告 ， 是 在 谷 歌 的 P r o j e c t   Z e r o 安 全 团 队 透 露 T r u e C r y p t 存 在 两 个 漏 洞 后 ， F r a u n h o f e r 研 究 所 于 五 周 后 发 出 的 。 这 两 个 漏 洞 中 最 严 重 的 ， 是 利 用 T r u e C r y p t 可 以 让 某 个 应 用 以 普 通 权 限 运 行 ， 或 者 在 一 个 不 完 整 的 沙 箱 里 将 权 限 级 别 提 升 到 系 统 级 甚 至 内 核 级 。 F r a u n h o f e r 的 研 究 人 员 表 示 ， 他 们 还 发 现 了 一 些 未 知 的 T r u e C r y p t 安 全 漏 洞 。 尽 管 T r u e C r y p t 爆 出 了 这 些 漏 洞 ， 但 是 分 析 报 告 却 认 为 它 作 为 一 种 在 电 脑 内 存 以 及 挂 载 盘 中 进 行 数 据 加 密 存 储 的 工 具 ， 主 要 功 能 仍 然 是 相 当 安 全 的 。 安 全 研 究 人 员 表 示 ， P r o j e c t   Z e r o 发 现 的 漏 洞 以 及 在 F r a u n h o f e r 分 析 报 告 中 的 那 些 ， 确 实 应 该 得 到 修 复 。 然 而 没 有 证 据 表 明 ， 黑 客 可 以 利 用 这 些 漏 洞 获 取 加 密 存 储 的 数 据 。 下 面 是 德 国 达 姆 施 塔 特 工 业 大 学 的 E r i c   B o d d e n 教 授 ， 也 就 是 F r a u n h o f e r 安 全 审 计 小 组 的 负 责 人 总 结 内 容 ： 许 多 人 并 不 太 明 白 ， T r u e C r y p t 本 来 是 不 太 适 合 保 护 那 些 黑 客 拿 下 的 系 统 中 加 密 的 数 据 的 。 这 是 因 为 ， 当 T r u e C r y p t 卷 可 以 通 过 文 件 系 统 访 问 时 ， 黑 客 可 以 通 过 植 入 键 盘 记 录 器 等 等 手 段 取 得 k e y 值 。 然 而 只 有 当 T r u e C r y p t 卷 并 没 有 挂 载 文 件 系 统 里 ， 且 内 存 里 不 存 在 k e y 时 ， T r u e C r y p t 才 能 保 证 数 据 的 安 全 。 最 后 结 论 就 是 ， T r u e C r y p t 为 在 离 线 加 密 的 数 据 存 储 ， 提 供 了 良 好 的 保 护 效 果 。 如 果 你 需 要 在 硬 盘 上 进 行 离 线 备 份 存 储 ， 比 如 存 在 一 个 随 身 带 的 U 盘 里 面 ， 那 么 里 面 经 过 T r u e C r y p t 加 密 的 数 据 可 以 被 认 为 是 相 对 安 全 的 。 ” 没 有 发 现 致 命 的 缺 陷 ， 但 没 有 发 现 致 命 的 缺 陷 ， 但 T r u e C r y p t 的 未 来 仍 然 让 人 不 安 的 未 来 仍 然 让 人 不 安 德 国 联 邦 信 息 技 术 安 全 局 出 了 一 个 分 析 报 告 ， 这 与 四 月 份 对 T r u e C r y p t 进 行 的 一 个 安 全 审 计 结 果 很 相 似 。 F r a u n h o f e r 的 研 究 人 员 还 发 现 了 部 分 编 程 问 题 。 其 中 最 严 重 的 问 题 之 一 ， 就 是 T r u e C r y p t 使 用 了 w i n d o w s 编 程 接 口 来 生 成 密 钥 所 要 用 的 随 机 数 。 此 外 ， F r a u n h o f e r 的 研 究 人 员 还 发 现 了 T r u e C r y p t 在 取 随 机 数 的 方 式 上 存 在 漏 洞 。 B o d d e n 教 授 说 道 ：
从 理 论 上 来 讲 ， 生 成 随 机 数 的 漏 洞 可 以 让 黑 客 更 容 易 取 得 加 密 数 据 时 的 密 钥 ， 从 而 对 数 据 进 行 解 密 。 因 此 ， 为 了 安 全 本 应 该 建 议 大 家 用 已 经 修 复 过 漏 洞 的 T r u e C r y p t 版 本 ， 对 数 据 进 行 重 新 加 密 。 ” 不 幸 的 是 ， 在 1 8 个 月 前 T r u e C r y p t 软 件 开 发 的 突 然 停 止 ， 官 方 可 能 再 也 没 有 机 会 对 它 进 行 修 复 了 。 某 些 匿 名 的 开 发 人 员 透 露 ， 这 个 项 目 大 家 应 该 慎 重 使 用 了 。 B o d d e n 教 授 表 示 ： 在 四 月 份 的 安 全 审 计 中 ， 曾 经 发 现 了 部 分 缓 冲 区 溢 出 漏 洞 。 然 而 F r a u n h o f e r 的 研 究 人 员 经 过 尝 试 发 现 ， 在 T r u e C r y p t 正 在 运 行 时 这 些 漏 洞 其 实 是 利 用 不 了 的 。 ” T r u e C r y p t 的 问 题 总 结 的 问 题 总 结 总 而 言 之 ， T r u e C r y p t 大 部 分 的 代 码 其 实 是 没 有 问 题 的 。 此 前 发 现 的 漏 洞 ， 对 于 T r u e C r y p t 数 据 存 储 加 密 这 个 主 要 功 能 而 言 ， 并 没 有 太 大 的 影 响 ， 类 似 的 问 题 可 能 也 会 发 生 在 其 他 加 密 软 件 上 。 在 这 点 ， 它 并 不 比 其 他 的 替 代 品 好 或 者 差 。 不 过 它 的 代 码 质 量 确 实 是 有 提 升 空 间 的 ， 部 分 地 方 也 许 重 构 会 更 好 ， 文 档 设 计 说 明 有 待 改 进 。 但 是 ， 这 款 软 件 确 实 做 到 了 它 设 计 之 初 所 要 做 到 的 一 切 。 T r u e C r y p t 原 软 件 设 计 者 ， 曾 根 据 威 胁 模 型 写 出 了 相 应 的 说 明 文 档 ， 他 表 示 T r u e C r y p t 是 不 能 在 正 在 运 行 的 系 统 里 妥 善 保 存 数 据 的 ， 这 与 我 们 的 研 究 结 果 相 符 。 而 如 果 使 用 智 能 卡 或 者 其 他 硬 件 作 为 K e y 进 行 存 储 加 密 的 话 ， 应 该 是 没 人 可 以 绕 过 的 ， 这 样 能 够 更 好 的 保 护 你 的 秘 密 。 这 样 的 加 密 系 统 也 可 能 由 其 他 方 式 攻 陷 ， 但 明 显 相 对 来 讲 是 更 加 优 秀 的 。 所 以 使 用 T r u e C r y p t 的 用 户 们 可 以 继 续 放 心 地 使 用 这 款 软 件 ， 直 到 V e r a C r y p t 或 者 另 一 款 T r u e C r y p t 的 替 代 品 的 产 生 。 虽 然 现 在 T r u e C r y p t 没 了 更 新 来 源 ， 但 是 现 在 必 须 马 上 更 换 T r u e C r y p t 的 传 言 显 然 是 胡 扯 。 F r a u n h o f e r 的 研 究 人 员 表 示 ， 至 少 在 一 段 时 期 内 ， 大 家 可 以 继 续 耐 心 等 待 下 一 个 合 适 的 加 密 产 品 。 * 参 考 来 源 ： A R ， F B 小 编 d a w n e r 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ) 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理