TrueCrypt tire sa révérence

Alors que l’audit du code de l’outil de chiffrement libre TrueCrypt semblait prometteur, ses créateurs ont décidé de jeter l’éponge de manière inattendue.

Une surprise majeure. Les développeurs anonymes responsables du développement de l’outil de chiffrement de disque libre TrueCrypt semblent avoir jeté l’éponge cette semaine. De fait, la page d’accueil du micro-site de l’outil sur Sourceforge, qui en héberge le code source, recommander de migrer vers BitLocker, en raison de l’abandon du support de Windows XP : « utiliser TrueCrypt n’est pas sûr parce qu’il pourrait contenir des problèmes de sécurité non corrigé », peut-on lire sur la page. Et ses auteurs d’expliquer que « cette page n’existe que pour aider à migrer les données déjà chiffrées avec TrueCrypt », tout en encourageant à recourir aux capacités de chiffrement de disque intégrées à Windows, mais également à OS X, notamment.

Nombreux sont ceux qui se sont interrogés sur l’authenticité du message. Mais celui-ci semble authentique. Et Matthew Green, chercheur à l’université John Hopkins, n’a pas caché sa déception à Brian Kreps : « ils auraient pu faire de nombreuses choses pour rendre plus simple, à des tiers, la poursuite du projet, à commencer par régler la question de la licence. […] Mais ils ont mis le feu à l’ensemble, et désormais personne ne va lui faire confiance parce que tout le monde va craindre la présence de vulnérabilités dangereuses dans le code. »

L’amertume de Matthew Green est compréhensible. Le chercheur a contribué, à l’automne dernier, au lancement d’un audit public de TrueCrypt, financé par le public. Celui-ci a porté ses premiers fruits au mois d’avril dernier. Et ils étaient prometteurs. Les experts d’iSEC Partners indiquaient alors avoir identifié 11 problèmes dans le périmètre étudié - analyse technique du code source et juridique de sa licence -, la plupart relevant d’une sévérité moyenne ou faible, trois problèmes ne relevant que d’une sévérité d’ordre informationnel. Certes, les experts soulignaient alors que « globalement, le code source tant pour le bootloader que pour le pilote Windows de niveau noyau n’atteignent pas les niveaux de standard » exigibles pour un « code sûr. » Mais c’était surtout la faute à un manque de commentaires et à l’utilisation de fonctions peu sûres ou obsolètes, ou encore à des types de variables incohérents. Bref, rien qui, à priori, ne semble pas avoir pu faire l’objet d’un nettoyage…

Approfondir

Soyez le premier à commenter

M'envoyer une notification dès qu'un autre membre commente.

Merci de créer un identifiant pour pouvoir poster votre commentaire.

- ANNONCES GOOGLE

Close