TrueCrypt non è sicuro, fine dello sviluppo

Una notizia inattesa ha scosso il mondo della crittografia: TrueCrypt, uno dei tool open source più popolari, non verrà più aggiornato. Gli sviluppatori hanno infatti comunicato che può contenere vulnerabilità non risolte, quindi non è sicuro. Sulla pagina di Sourceforge è presente ora un messaggio che invita gli utenti ad utilizzare BitLocker, il software integrato nei sistemi operativi Microsoft (da Vista in poi). Qualcuno però dubita che l’avviso non sia autentico e che il sito sia sotto attacco hacker.

Gli esperti di sicurezza hanno subito cercato di scoprire i motivi di questa decisione. In seguito alle rivelazioni di Edward Snowden, molti utenti hanno finanziato uno studio finalizzato alla ricerca di eventuali backdoor in TrueCrypt, in quanto nessuno conosce i nomi dei suoi sviluppatori. Tuttavia, il primo audit non ha rilevato nessuna falla di sicurezza o la presenza di malware. Brian Krebs ha verificato i record WHOIS e DNS senza trovare cambiamenti rilevanti. Il file eseguibile della versione 7.2 del tool, rilasciata il 27 maggio, è stato firmato digitalmente con la stessa chiave usata per la precedente release. Questi due fatti suggeriscono che il messaggio è legittimo, quindi TrueCrypt è stato effettivamente ritirato.

Questo è l’avviso pubblicato su Sourceforge:

WARNING: L’uso di TrueCrypt non è sicuro, in quanto può contenere problemi di sicurezza non risolti. Lo sviluppo di TrueCrypt è terminato a maggio 2014, dopo che Microsoft ha interrotto il supporto di Windows XP. Windows 8/7/Vista integrano il supporto per la crittografia dei dischi e per le immagini virtuali. Tale supporto è disponibile anche su altre piattaforme. I dati criptati con TrueCrypt dovrebbero essere migrati a dischi criptati o immagini virtuali supportati sulla tua piattaforma.

La pagina contiene una guida che illustra i passi necessari per la migrazione da TrueCrypt a BitLocker. La versione 7.2 permette solo di disattivare la crittografia. Dato che il tool è open source, è probabile che il supporto possa continuare con l’aiuto di altri sviluppatori.