安全审计显示存在大量漏洞

Quarkslab的安全研究人员Jean-Baptiste Bédrune和解密专家Marion Videau在热门加密平台VeraCrypt发现大量安全漏洞。硬盘加密软件新审计显示，VeraCrypt存在8个高危漏洞、3个中危漏洞以及15个低危漏洞。

VeraCrypt是基于TrueCrypt 7.1a的项目，由IDRIX维护。2014年TrueCrypt终止项目后，VeraCrypt项目发布。

专家分析了VeraCrypt版本1.18和DCS EFI引导装在程序1.18（UEFI），他们的分析集中自2015年4月TrueCrypt安全审计之后推出的新功能。

VeraCrypt 1.18的最重要功能之一是UEFI支持，单独的代码库名为“VeraCrypt-DCS”（硬盘加密服务）。这个新模块被认为不及项目其它模块成熟，某些部分仍不完整，或未实现。

“ “加密激活时可以计算的密码长度”解释称：启动时，击键存储在BIOS数据区的特定缓冲区。UEFI能实现并行：每个驱动程序具有包含击键的缓冲区。缓冲区地址未知，并且完全依赖实现（implementation）。用户提供的密码通过VeraCrypt引导装载程序的GetKey函数读取每个字符。难以确保驱动程序实现将清除包含击键的缓冲区。”

他们发现，攻击者能找回UEFI模式下的启动密码，因为当用户修改密码时，改应用程序无法清除密码。

专家发布的审计报告指出，“该引导装载程序处理的数据很少清除。用户密码在启动时适当清除。但是，当用户修改密码时，包含新密码的Password结构将不会被清除（查看DcsInt / DcsInt.c中的SecRegionChangePwd函数）。TrueCrypt开发人员会仔细检查是否正确清除内存的敏感数据。这种仔细并未体现在DCS中。”

其它高危漏洞与实现GOST 28147-89对称分组密码有关。GOST 28147-89对称分组密码被实现错误所影响。

报告指出，“将GOST 28147-89与更普通的任何64位分组密码从可用的分组密码中移除。”

VeraCrypt 1.9已解决了高危、中危和许多低危漏洞。无论如何，大量漏洞仍未解决是因为修复的复杂性较高。

报告称，“已正确修复所有漏洞（除了其中一个漏洞遗漏）。尤其，James Forshaw于OCAP审计后在TrueCrypt缓冲区中发现的导致特权升级的漏洞已经解决。要求大量修改代码或项目架构的漏洞还未修复。”

这类审计对用户的安全至关重要，审计有助于加速发现并修复漏洞的过程。

开源技术改进基金会（Open Source Technology Improvement Fund）提到审计时表示，“VeraCrypt在经过审计后更加安全，对软件的修复表明使用该软件，世界相对安全。”