Truecrypt am Ende? Schockzustand? Was ist hier genau passiert, und warum? Und ist das echt?

[Truecrypt], die weit verbreitete Open-Source Verschlüsselungssoftware für Storage-Volumes auf Datei-, Partitions- und Festplattenbasis scheint entweder an sein Ende gekommen, oder mit seiner Webseite gehacked worden zu sein.

Die Software, die unter Windows, MacOS X, Linux und gewissen UNIX Systemen funktioniert, wurde nun in einer nur mehr zum Entschlüsseln befähigten Version 7.2 veröffentlicht, die einer 7.1a nachfolgt. Die digitalen Signaturen und Schlüssel erscheinen gültig und mit denen der früheren Releases deckungsgleich zu sein. Mittlerweile wurde auch der Quellcode publiziert und analysiert, und es scheint sich dabei um eine stark modifizierte Entwicklungsversion zu handeln, abgeändert um die VERschlüsselungsfähigkeiten zu entfernen.

Wesentlich mehr nach Fisch stinkt aber folgendes:

Auf der nunmehr auf SourceForge umgeleiteten Seite (laut SourceForge Administration gab es keine ungewöhnlichen Auffälligkeiten oder Hackverdacht für den TrueCrypt Account) erhalten User Kurzanleitungen für den Umstieg auf Microsoft Bitlocker und Apple FileVault, unter Linux solle man einfach "alle Pakete installieren die etwas mit Crypto zu tun haben, und die Dokumentation befolgen" (so ca.).

Zudem wurden mehrere Sicherheitswarnungen postuliert, die anzeigen, daß TrueCrypt eventuell nicht mehr sicher sei, da die Entwicklung mit dem Ende von Windows XP gestoppt wurde.

Die Seiten besprechen die dadurch entfallenden Features allerdings nicht (Kein Bitlocker auf kleinen Windows Versionen, keine Cross-Platform Fähigkeiten, keine Plausible Deniability) und das Design der Webseite weicht stark von der alten Truecrypt Seite ab.

Aktuell kursieren dazu folgende Theorien:

Fakt bleibt, daß das ganze hochgradig seltsam aussieht, was Formulierung der Texte, Formatierung der Seite und die "Migrations-Version" angeht, die nur noch ENTschlüsseln kann, um auf BitLocker/FileVault/dm-crypt zu migrieren. Speziell das Statement zu Linux sieht hochgradig unprofessionell und "schnell hingefetzt" aus.

Aktuell gibt es keine weiteren offiziellen Statements, Verantwortliche des TrueCrypt Source Code Audits sind auf Anfrage genauso ratlos wie alle User. Die Entwickler zu erreichen ist nunmehr ganz ausgeschlossen, da auch der Mailserver an der TrueCrypt Domain keine eMails mehr annimmt. Auch das äußerst wertvolle Userforum - von sehr vielen sehr fähigen Leuten frequentiert - scheint ausgelöscht worden zu sein, sofern es sich hier nicht um einen "einfachen" Defaceangriff auf die Webseiten handelt.

Durch die unklare Situation würde ich dringendst empfehlen, die Finger von der TrueCrypt 7.2 "Migrationsversion" zu lassen, was die Binaries angeht, und den Quellcode zu studieren wenn man dazu in der Lage ist (diffs zwischen 7.1a und 7.2 existieren bereits). Abzuwarten erscheint hier vorerst die beste Strategie zu sein.

Weitere Links:

Nennt mich leichtgläubig, aber ich glaube das nicht. Der Kerncode von Truecrypt (also der Bootloader-Assembly, der tatsächliche kryptographische Code) haben seit 7.0 oder sogar davor kaum mehr Änderungen erfahren. Ab dem Punkt ist die Entwicklung speziell des UEFI+GPT Loaders stark ins stocken geraten und es is lange nichts mehr gekommen, schon Jahre nicht. Das klingt für eher als wären die Kernentwickler nach und nach abgesprungen, bis nur noch "David" übrig war, der sich außer Stande gesehen hat, das fortzuführen. Und jetzt wo die Kacke immer mehr gedampft hat wegen UEFI und Win8.x hat er zugedreht.

Ich war ja sehr aktiv in der TC Community und bin ein intensiver Nutzer der Software, da kriegt man ein bissl was mit. Und für mich erscheint das schlüssig wenn ich auf die Entwicklungen der letzten Jahre zurückblicke.

Heißt natürlich nicht, daß es so gewesen sein muß. Aber es erscheint mir wahrscheinlich.

Gesagt hat er das, aber nur den Auditoren bzw. einem User der die scheinbar kennt. Per eMail. Öffentliche Statements zum Status des Projekts waren ja noch nie so ein Ding der TC Entwickler. In der Regel gab es genau 0 Information. Dann gab es halt Mal einen neuen Release mit Doku dazu, und sonst nichts. Keine Kommentare, gar nichts...

Und dann wieder warten.

Also ganz unschlüssig ist das nicht. Auch wenn der Hinweis auf Bitlocker und FileVault durchaus Anlaß zum Zweifel geben mag, das seh ich schon gut ein. Könnte auch ein verdeckter Hinweis darauf sein, daß das NICHT ernst gemeint ist.. aber so ganz kauf ich das nicht mit der NSA. kA. Vielleicht nur Gefühlssache.

Wenn nur mehr der Hausmeister übrig is beim TC Projekt, dann glaubt er den Schwachsinn vielleicht wirklich?

Gesagt hätte er das jedenfalls per eMail auch schon. Keine Ahnung. Die ganze Wahrheit erfahren wir sowieso nicht mehr denk ich. Im NSA Fall sowieso nicht. Aber ich denke, daß TC auch ohne Zutun eines Geheimdienstes verendet wäre.

Leider sind die Entwickler die derartige Lizenzen (also ich meine jetzt GPL, BSD usw.) vertreten wohl allesamt zu sauber und ehrlich, um daraus ein "Verbrechen ohne Opfer und Kläger" zu machen. Wäre auch ein unsauberer Präzedenzfall, die Software einfach mit Gewalt unter GPL zu releasen. Wobei das ja bei [DiskCryptor] auch geklappt hat nach Namens- und Logoänderung, das ist jetzt wundersamerweise GPLv3 und keiner regt sich auf.