28 Nov TrueCrypt é seguro?
O TrueCrypt é um software de encriptação gratuito que, especialmente para utilizadores de versões do Windows nas quais o BitLocker não vem incluído, era uma possível alternativa à ferramenta de encriptação oficial da Microsoft. No entanto, no dia 28 de Maio de 2014, o projecto foi descontinuado. “AVISO: Utilizar o TrueCrypt não é seguro pois pode conter problemas de segurança por resolver”, pode ainda ler-se no site oficial do software. Mas será que o TrueCrypt deixou mesmo de ser seguro?
Em Outubro de 2013, Kenneth White, investigador na área da segurança, e Matthew Green, professor de Ciências da Computação na Universidade Johns Hopkins, iniciaram uma campanha de crowdfunding para angariar fundos para a realização de uma auditoria de segurança ao TrueCrypt. Foram angariados mais de 70 mil dólares, que foram utilizados para financiar uma auditoria divida em duas fases.
Na primeira fase da auditoria, levada a cabo pela iSEC Partners e concluída em Fevereiro de 2014, a empresa concluiu que não existem provas da existência de backdoors no software. De acordo com a iSEC Partners, as vulnerabilidades identificadas no TrueCrypt não parecem ter sido introduzidas intencionalmente. Foram identificadas 11 vulnerabilidades, no entanto, nenhuma delas foi considerada de alta gravidade.
A segunda fase da auditoria esteve a cargo da Cryptograpy Services, uma equipa que faz parte do grupo que detém a iSEC Partners (NCC Group), tendo sido concluída em Março de 2015. Nesta fase, foram identificadas 4 vulnerabilidades, duas das quais foram consideradas de alta gravidade. A vulnerabilidade mais grave tem a ver com o facto de o TrueCrypt depender da API de criptografia do Windows para gerar números aleatórios para as chaves que encriptam os discos protegidos com recurso a este software. O problema é que, se a API não for iniciada devidamente, o TrueCrypt continua a gerar chaves. Sem aleatoriedade, um atacante pode descobrir a chave de encriptação mais facilmente. Note-se, no entanto, que, de acordo com Matthew Green, proponente da auditoria ao TrueCrypt, a probabilidade de a API de criptografia do Windows falhar é extremamente baixa. Mas, na eventualidade desta falhar, o TrueCrypt obtém aleatoridade a partir de outras fontes, como o movimento do seu rato, que são alternativas “provavelmente boas o suficiente para o proteger”. Em relação à outra vulnerabilidade considerada de alta gravidade, esta, de acordo com Green, “provavelmente não é uma preocupação se não estiver a encriptar ou a desencriptar num computador partilhado ou num ambiente em que o atacante possa correr código no seu sistema (por exemplo, numa sandbox, ou potencialmente no browser)”.
Com base nos resultados da auditoria, Matthew Green, concluiu que o TrueCrypt “parece ser um software de criptografia relativamente bem-desenhado”, não existindo provas da existência de “backdoors deliberados ou quaisquer falhas de design que tornem o software inseguro na maior parte dos casos”.
No entanto, em Setembro de 2015, James Forshaw, investigador da equipa Project Zero da Google, divulgou duas vulnerabilidades que tinham passado despercebidas na auditoria ao TrueCrypt. Uma das vulnerabilidades permite a um atacante obter privilégios mais elevados num sistema, tendo por isso sido considerada de alta gravidade. Mas será que estas vulnerabilidades põe em causa a segurança do TrueCrypt?
De acordo com os autores de uma auditoria mais recente, encomendada ao Instituto Fraunhofer para a Tecnologia de Informação Segura pela Agência Federal para a Segurança da Informação da Alemanha (BSI), “apesar de problemática em geral, esta vulnerabilidade, todavia, não tem relevância para a segurança do próprio TrueCrypt”. A vulnerabilidade permite que código malicioso que já tenha acesso ao seu computador adquira privilégios mais elevados. Mas este problema “não simplifica ao atacante o acesso a dados encriptados”, de acordo com Michael Waidner, director do Instituto Fraunhofer para a Tecnologia de Informação Segura. Para tirar partido da vulnerabilidade, o atacante necessitaria de “ter um acesso profundo ao computador, por exemplo, através de um Trojan ou uma outra forma de acesso remoto ou directo”.
A conclusão geral dos investigadores é que o TrueCrypt é “mais seguro do que as avaliações anteriores indicavam”. “As vulnerabilidades que identificámos são mínimas, e vulnerabilidades semelhantes podem também ocorrer em qualquer outra implementação de funções criptográficas”, disse Eric Bodden, um dos autores do estudo. “Nesse sentido, o TrueCrypt não parece ser melhor nem pior que as suas alternativas”, concluiu Bodden.
Ainda assim, é importante ressalvar que utilizar software descontinuado não é aconselhável, uma vez que as supracitadas vulnerabilidades, e todas as vulnerabilidades que possam vir a ser identificadas no futuro, nunca mais serão corrigidas. Mas, se continuar interessado em utilizar o TrueCrypt, poderá descarregá-lo aqui. Quando o software foi descontinuado, os desenvolvedores removeram do seu site a última versão que permite encriptar (TrueCrypt v. 7.1a). Existe uma versão mais recente (TrueCrypt v. 7.2), que foi lançada quando o TrueCrypt foi descontinuado, no entanto esta só permite desencriptar. Vários sites de terceiros disponibilizam a versão 7.1a do TrueCrypt, no entanto é necessário ter cuidado para não fazer o download de uma versão adulterada do software. Por exemplo, investigadores identificaram um site russo que estava a distribuir uma versão adulterada do TrueCrypt que continha um backdoor. No link acima, encontra-se uma versão verificada pela equipa que organizou a primeira auditoria ao TrueCrypt.