VeraCrypt als alternative Festplattenverschlüsselung zu TrueCrypt

it-sicherheit 17
Fachbeitrag

Bei Verlust oder Diebstahl von Notebooks oder anderen mobilen Endgeräten schützt eine Verschlüsselung die Daten und Inhalte vor dem Zugriff unbefugter Personen. Nach dem überraschenden Ende der beliebten Kryptografie-Software TrueCrypt wird VeraCrypt zum Nachfolger im Bereich von Festplattenverschlüsselungen erklärt.

Was ist eine Festplattenverschlüsselung?

Mit einer Festplattenverschlüsselung können Festplatten, einzelne Ordner und Partitionen vor unberechtigten Zugriff geschützt werden. Nur der berechtigte Passwortinhaber erhält über ein vorher selbst definiertes Passwort Zugriff auf die verschlüsselten Daten.

Die gängigen Betriebssysteme verfügen bereits über integrierte Verschlüsselungstools. So enthalten Windows-Betriebssysteme das Verschlüsselungstool BitLocker, das Pendant für MAC- Betriebssysteme heißt FileVault. Neben den bereits in den Betriebssystemen integrierten Verschlüsselungsfunktionen sind auf den Markt Alternativen vorzufinden. Zuletzt erfreute sich TrueCrypt einer großen Beliebtheit bis die Entwickler im Mai 2014 überraschend die Weiterentwicklung der Verschlüsselungs-Software eingestellt haben.

Ist VeraCrypt sicher?

VeraCrypt wird als Freeware unter einer Open Source Lizenz vertrieben und ist für Windows, Linux und MacOSX verfügbar. Die Quellenoffenheit hat gegenüber geschlossenen Systemen den ausschlaggebenden Vorteil, dass die Software von jedermann ständig erweitert und verbessert werden kann, ohne an die Verbesserungs-Launen des Herstellers gebunden zu sein.

Die Offenlegung des Quellcodes hat weiterhin den Vorteil, dass die Software auf unerwünschte Funktionen wie Backdoors oder Spionagemöglichkeiten von jedermann überprüft werden kann.

Würdiger Nachfolger von TrueCrypt?

Als Entwickler von VeraCrypt setzt die VeraCrypt Foundation für ihre Software zwar auf den Code von TrueCrypt auf. Die Software wurde aber weiterentwickelt und verbessert. So soll VeraCrypt einen effektiveren Schutz vor gezielten Angriffen bieten. Die Entwickler betonen, dass die unsicheren Stellen ihres Vorgängers ausgebessert wurden und VeraCrypt so z.B. Brute-Force-Angriffen besser standhalten kann.

Der Nutzer kann den zu verwendenden Verschlüsselungs- und Hash-Algorithmus selbst bestimmen. Zur Verschlüsselung stehen ihm die verschiedenen Algorithmen wie AES, Serpent, Twofish zur Verfügung. Als Hash-Funktion kann der Nutzer zwischen RIPEMD-160, Whirlpool und SHA-2 (SHA-256 oder SHA-512) wählen.

Sind Hintertüren bekannt?

Eine unabhängige Überprüfung des Quellcodes wie bei dem Vorgänger von TrueCrypt ist zurzeit nicht bekannt. Allerdings ist VeraCrypt nicht nur auf der Code-Basis von TrueCrypt aufgesetzt, welches selbst keine Backdoors enthielt, sondern auch verbessert worden. Aufgrund der Quellenoffenheit kann der Quellcode jederzeit überprüft und eventuelle Hintertüren entdeckt werden. Solche Meldungen existieren derzeit jedoch nicht.

Fazit

Da VeraCrypt sich in der Funktion und Bedienung stark an TrueCrypt orientiert, werden sich treue TrueCrypt-Nutzer schnell mit VeraCrypt anfreunden können. Zudem ist VeraCrypt an den kritischen Sicherheitsstellen nachgebessert worden. Es bleibt abzuwarten, ob sich der Nachfolger bei den Usern durchsetzen wird und unabhängige Überprüfungen mit positiven Ausgang durchgeführt werden.

Sie haben Fragen?

Unsere Berater helfen Ihnen dabei, den Umgang mit personenbezogenen Daten in Ihrem Unternehmen rechtssicher und praxisgerecht zu gestalten. Dabei unterstützen wir Sie u.a. bei folgenden Themen:

  • Aufbau, Optimierung und Überprüfung der IT-Sicherheit nach anerkannten Standards
  • Vorbereitung auf eine Zertifizierung nach ISO 27001 oder IT-Grundschutz
  • Stellung von externen IT-Sicherheitsbeauftragten

Informieren Sie sich hier über unser Leistungsspektrum: IT-Sicherheit

15 Kommentare zu diesem Beitrag

  1. Frage zum Umstellen.
    Kann ein Truecrypt-verschlüsseltes System / Archiv / Ordner mit Veracrypt weiterbetrieben werden oder ist eine Übertragung aus dem TC-Tresor in den VC-Tresor notwendig?
    Im Falle, dass Übertragung nötig ist: Können beide Systeme paralell installiert sein und die Übertragung ohne Abspeichern der TC-decodierten Daten in den VC-Tresor erfolgen?
    vielen Dank
    Protos

    • Nach unseren Tests sind die verschlüsselten TrueCrypt und VeraCrypt Container nicht miteinander kompatibel.

      Man kann allerdings einen neuen Container erzeugen und die Daten aus dem TrueCrypt Container in den neu erstellt VeraCrypt Container kopieren.

      • Für die Konvertierung muss man keine Dateien kopieren. Dazu einfach alte Datei öffnen, dann Passwort ändern/löschen bzw. Schlüsseldatei ändern/löschen/hinzufügen. Voila.

  2. Seit 1.0f können TrueCrypt-Container gemounted werden, bei Änderung des Passwortes/Schlüssels wird dann auf VeraCrypt-Format konvertiert.
    Beide Produkte können parallel installiert werden.
    (siehe FAQ auf der Webseite)

    • Vielen Dank für den Hinweis: Das Öffnen alter TrueCrypt Container ist nun ab der Version 1.0f-1 (Anfang Januar 2015) möglich, wenn man eine nicht direkt erkennbare Option anhackt (ist schnell zu übersehen). Diese Option nennt sich “TrueCrypt Mode”. Wird diese Option nicht auswählt, bekommt man die Meldung über ein falsches Passwort. Hilfreicher wäre hier ein Dialog gewesen, der darauf hinweist, dass man gerade einen alten Container öffnen will und den dann auch konvertieren kann.

      Hinsichtlich der Konvertierung haben wir die folgende Anleitung befolgt:

      TrueCrypt volumes are converted when users run any of the following actions on the volume:

      Change the encryption password of the volume.
      Set the header key derivation algorithm.
      Add or remove key files

      Beim Testen des Konvertieren haben wir die Erfahrung gemacht, dass dieser Vorgang lange dauert (die Ursache hierfür konnten wir nicht feststellen). Vielleicht ist das Umkopieren in einen neu erstellten Container doch schneller. Außerdem hat man dann noch den alten Container als Backup falls beim Konvertieren eventuell etwas passieren sollte.

      Das Passwort eines Containers kann man unter “Volume Tools…” ändern. Dabei muss man das alte und neue Passwort angeben und (!) wieder die Option “TrueCrypt Mode” aktivieren.

  3. VeraCrypt (VC). Hmm. Klingt toll (sieht toll aus). Verspricht Einiges (“Vulnfixes”).
    Aber TrueCrypt (TC) hat ein crowd-funded laufendes (*weiter*laufendes*!) SecAudit, das (bisher) nur Kleinigkeiten(!) auswarf.

    Die Aussagen der WebSite (http://truecrypt.sourceforge.net/) kann man vergessen, wenn man an Lavabit & Co. denkt. Insbesondere aber, wenn man bedenkt, dass diese Aussage 4 (in Worten: VIER) Jahre nach dem Release der TC7.1a gemacht wurde. Und wenn man bedenkt, dass Forks (wie VC), die (bisher) nur Kleinigkeiten änderten auf genau *diesem* TC SourceCode aufbauen.

    Hier kommt mein Vertrauensproblem:
    TC wird auf einmal als “riskant” propagiert und völlig unbekannte Dritte springen aus dem Boden, die es besser (zu) machen (behaupten). Warum, genau, vertraute ich ausgerechnet DENEN?

    Meine Einschätzung:
    Für Privatleute, KMUs: Nimm VC, das ist moderner, wird weiterentwickelt. Schützt perfekt gegen Datenverlust bei Verlust/Diebstahl von Laptops oder Medien.
    Für Dissidenten: Um Gottes Willen! *Wenn* der Staat Backdoors für *irgendwas* finanziert/baut, dann für Verschlüsselung (siehe die aktuellen Versuche, dieselbe zu verbieten). Nimm TC 7.1a (aus einer vertrauenswürdigen Quelle!!)

    Wenn es mal einen vertrauenswürdigen Audit für VC gab kann man immer noch umstellen. (Das Hosting durch M$ und die MS-PL (M$-Lizenz) sind auch nicht gerade vertrauensfördernde Faktoren)).
    An die, die mich jetzt “Aluhutträger” nennen: Lieber mit ‘nem Aluhut auf dem Balkon als ohne im Abseits oder Verlies.

    • Eine 100 % Sicherheit gibt es nicht. Insofern ist ihr Zweifel durchaus berechtigt. Viele User haben allerdings eher Vertrauen in Open Source Software als in proprietäre Anwendungen. Bei VeraCrypt kann man sich gleich den Code anschauen und es gibt Fachleute, die den Code auch nachvollziehen können. Nach der TrueCrypt “Aufregung” wird der ein oder andere doch genau hinschauen und es wird sich zeigen, ob die Fehler (um die es geht) verbessert wurden, ob weitere/andere Fehler existieren oder dazu gekommen sind. Diese werden eventuell gefunden oder auch nicht. Aber was unterscheidet das von anderer Software, die eventuell Geld kostet und nicht quelloffen ist?

      Ein Audit wäre wünschenswert und wir hoffen, dass es in der nächsten Zeit auch Fachleute geben wird, die sich dazu äußern werden. Wir werden berichten…

      • “Aber was unterscheidet das von anderer Software, die eventuell Geld kostet und nicht quelloffen ist?”
        Ich dachte, wir reden hier von VC vs. TC?
        Die sind beide quelloffen, TC ist im Audit (mit wie keinen gravierenden Mängeln bis jetzt) , VC unaudited.
        Muss man wirklich mehr wissen?

        • Bei TrueCrypt gibt es ein Audit, das keine gravierenden Sicherheitslücken attestiert. Auch kann davon ausgegangen werden, dass keine Schwachstellen bewusst eingebaut wurden. Die vorhandenen Sicherheitslücken sind eher auf Standardfehler bei der Programmierung bzw. Falschanwendung der Programmiersprache zurückzuführen (also keine absichtlichen Fehler). Auf der anderen Seite braucht ein Experte keine Hintertürchen sondern kann bereits existierende Schwachstellen ausnutzen. Theoretisch steht der weiteren Nutzung von TrueCrypt trotzdem nichts im Wege, solange keine einschlägigen Websites entsprechende News über Unsicherheiten, Hackerangriffe usw. berichten.

          VeraCrypt dagegen setzt auf dem Code von TrueCrypt auf, wobei die Schwachstellen verbessert wurden. Wie Sie richtig anmerken, fehlt aber ein Audit. Ob man nun das auditierte TrueCrypt mit den Schwachstellen nutzt oder das ausgebesserte nicht auditierte VeraCrypt, hängt von dem Vertrauen jedes einzelnen Users ab.

          Letztlich sei anzumerken, dass einige User den auditierten Stand von TrueCrypt als sicher erachten, dieser Stand mit der Zeit jedoch als veraltet oder angreifbar gelten kann. Deswegen ist es positiv zu werten, dass es mit VeraCrypt einen “Nachfolger” gibt, der weiter entwickelt und gepflegt wird. Eine unabhängige Prüfung ist hier ebenfalls zu wünschen.

      • Aber was ist wenn diese sogenannten Fachleute/Auditoren/Zertifizierungs-Firmen/Institute etc. pp. vielleicht entweder gar nicht existent sind, oder vom Staat mehr oder weniger gekauft sind? JEDER Mensch ist käuflich, wenn der Preis stimmt, das sollte man nie vergessen. Und Papier oder irgendwelche Zertifikate sind verdammt geduldig !! Ein offengelegter, für jeden einsehbarer Programmcode ist zwar gut und schön, aber wer oder was garantiert mir denn, dass dieser Code letztendlich auch so, vollkommen unverändert, zur Kompilierung verwendet wurde?? Niemand !!! Sicher vor Backdoors kann daher nur derjenige sein, der in der Lage ist, sich seine Verschlüsselungs-Software selber zu entwickeln. Alles andere ist immer Risiko.

        • Einfach den Code aus dem Repository holen und selbst kompilieren – mit etwas Know How kann das jeder.

          Etwas selbst zu implementieren ist immer die schlechtere Lösung im Vergleich zur Mitarbeiter an einem Open-Source-Projekt, bei welchem der eigene Code auch gescanned wird.

      • inwiefern wird sichergestellt, dass überhaupt alle codeteile vorliegen, verschlüsselung können wirklich kaum experten nachvollziehen und ein richtiger crack baut die backdoor über alle codeteile versteckt ein.

  4. Folgendes bleibt unklar:
    TC ist in Teilen nicht offengelegt. Die Macher von TC waren nicht bereit, diesen Code an Nachfolger herauszugeben. Wenn VC auf TC aufsetzt, müsste also der Kern noch intransparent sein. Das wäre keine gute Basis für Vertrauen. Es wäre schön, wenn das jemand dementieren könnte.

  5. Wenn ich mit VeraCrypt meine System-SSD und eine HDD in meinem PC verschlüsseln möchte und die Vorherigen Dateien 3 mal oder Gutmann 35 mal überschreiben lasse, sind diese nach dem Vorgang noch vorhanden oder muss ich alle neu installieren??

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.