Proyecto libre para auditar TrueCrypt

Kenn White y otros investigadores han dado a conocer el proyecto Is TrueCrypt Audited Yet, un proyecto abierto para auditar la herramienta de cifrado de disco Truecrypt. El proyecto recibe el nombre de Open Crypto Audit Project (OCAP).

¿Por qué auditar Truecrypt?

Hay escasez de software de cifrado de alta calidad y fácil de utilizar. TrueCrypt es la excepción a esa regla: es bonito, muy usable y mucha gente (no técnica) lo utiliza para almacenar información muy sensible. Esto incluye información personal privada y secretos corporativos. Incluso Bruce Schneier lo está usando para almacenar información en su portátil personal.

Entonces ¿qué pasa con Truecrypt?

Quizás nada en absoluto. El 'problema' con Truecrypt es el mismo problema que tenemos con cualquier software de seguridad popular en la era post-septiembre-5: no sabemos en qué confiar. Hay evidencia que la NSA es capaz de manipular hardware y software de cifrado, y el sentido común indica que la NSA no está sola. TrueCrypt, popular y ampliamente confiable, es un destino fantástico por atacar.

Pero francamente hay otras cosas que preocupan sobre Truecrypt: el mayor de ellos es que nadie sabe quién lo escribió. Como dice Dan Kaminsky, "la autoría es el mejor predictor de la calidad y de la transparencia de un software".

Cuidado, el anonimato no es un crimen. Es posible que los desarrolladores de Truecrypt sean elfos de la seguridad que simplemente están tratando de proteger su esencia vital. Más prosaicamente, tal vez viven en un país donde los derechos de privacidad no son tan venerados como están en los Estados Unidos (sic).

Pero el anonimato no es lo único que preocupa sobre Truecrypt. El software hace algunas cosas "graciosas" que pueden poner paranoico a cualquiera, o hacerlo pensar dos veces.
Por ejemplo, según un análisis del grupo de privacidad de Ubuntu, la versión de Windows de TrueCrypt 7.0 es distinta a la versión de Linux y llena los últimos 65.024 bytes del encabezado con valores aleatorios, mientras que la versión de Linux llena con bytes ceros cifrados. Desde el punto de vista de seguridad este comportamiento es problemático porque con el análisis de los datos cifrados no se puede distinguir si estos valores son realmente aleatorios o pertenecen a algún tipo de "llave maestra" que funcionaría como puerta trasera.

Aún así, aunque el código fuente de Truecrypt fuera digno de confianza, no hay ninguna razón para creer que los binarios publicados en el sitio lo son. Mucha gente sólo encuentra y utiliza el binario de Truecrypt, lo cual debe preocupar.

¿Cuál es su plan?

En resumen: existen numerosas razones por lo que es necesario revisar este software. Los términos exactos del proyecto están en progreso pero principalmente se desglosan en cuatro componentes:

• Revisión de la licencia. TrueCrypt utiliza una licencia no-FOSS. Un abogado competente debería revisar las compatibilidades con GPL.
• Implementar estructuras determinista/reproducible. Muchas preocupaciones con Truecrypt podrían irse si se podrían confirmar que los binarios fueron compilados desde el fuente publicado. Por desgracia no es realista pedirle a todos los usuarios que compilen ellos mismos. Nuestra propuesta es adaptar el proceso de compilación deterministas que ahora está usando Tor, para poder confirmar que los binarios son seguros.
• Pagar recompensas por errores. No se puede auditar todo el código pero se puede recompensar a quienes encuentren fallos en el código.
• Llevar a cabo una auditoría profesional. El sueño real de este proyecto es ver todo el código y por eso estan pidiendo ayuda.

El proyecto no espera que ninguna persona haga todo y por eso están buscando aportes y donaciones de cualquier tipo.

Cristian de la Redacción de Segu-Info

Suscríbete a nuestro Boletín