IT故事：磁盘加密工具TrueCrypt与“棱镜门”事件

本文是原创，首发于微信公众号『 Moehoo猛虎 』

【导读】享有盛誉的加密软件TrueCrypt突然宣布：自身有缺陷，停止更新。IT业界普遍认为，此事与“棱镜门”相关......

        2014年5月28日，当时影响力最大的磁盘（文件）加密工具TrueCrypt突然发布公告：由于含有没有修复的安全问题，使用TrueCrypt是不安全的，TrueCrypt项目已经停止开发。

        在TrueCrypt官方网站（网址为： http://www.truecrypt.org）上还发布了最新的TrueCrypt版本（v7.2），但是，这是一个“单向性”的磁盘加密工具：只能打开加密卷，不能建立加密卷。官网提供这个新版本的目的只是为了便于用户进行数据迁移，确切地说，是便于Windows用户将加密数据从TrueCrypt迁移至微软的BitLocker。为此，TrueCrypt开发团队甚至不惜花费许多笔墨撰写了一个图文并茂的详尽教程，放在官网的首页之上。

        官网给出的理由是：Windows操作系统从Vista版本开始，就已经集成了BitLocker这一磁盘加密工具，而且，在当年（2014年）的3月，Windows XP已经被停止了官方技术支持。基于这些原因，TrueCrypt的开发团队就不再对这款工具进行该进了。

        这是一个很牵强的理由，也是非常诡异的一次自我了断。

        TrueCrypt以其性能在业界享有盛誉，举个两个例子。

        欧美的很多色情网站就是用TrueCrypt来逃避法律打击的，他们用TrueCrypt把色情信息加密后再放到服务器上，这样，即便警方拿到了磁盘也无法解密，当然也就不能举证指控了。

        2010年，巴西警方截获了罪犯用TrueCrypt加密的硬盘，巴西的国家犯罪研究所无法解密，于是请美国FBI帮忙，但面对TrueCrypt，一堆密码专家同样无计可施。（关于此事的具体报道，可见：http://www.techworld.com/news/security/fbi-hackers-fail-to-crack-truecrypt-3228701/）

        那么，有如此口碑的实力派开源软件，为何这样突如其来地自我了断了呢？凡事都有因果，追根溯源总能找到原因。

        业界普遍认为，此事很可能与“棱镜门”事件有关。

        事件的主角“美国叛徒”斯诺登使用了两个加密工具：磁盘加密使用TrueCrypt，电子邮件加密使用Lavabit。

        在斯诺登逃亡之后，FBI找到Lavabit的创始人Ladar Levison，威逼他交出了SSL私钥。

        那么，为什么FBI不去找TrueCrypt的开发团队呢？原因很简单：根本无从寻觅。

        TrueCrypt开发团队一直保持着绝对的神秘性，没有开发团队的任何信息，这有效地保护了团队成员自身的安全。IT业界对TrueCrypt的自我了断有很多说法，但大多数人认为最大的可能性是：团队成员不想趟浑水，想要全身而退。

        在“棱镜门”事件曝光之后，由于TrueCrypt开发团队的神秘性，一度有许多人怀疑其背后是NSA（美国国家安全局），而且，TrueCrypt中含有预留的NSA后门。为此，安全社区的领袖发起了针对TrueCrypt的“代码审计”（此项目的官网是：http://istruecryptauditedyet.com），也就是召集了一批具有极高技术声誉的开发人员，对TrueCrypt的全部源代码进行仔细审查。

        2014年4月，完成了第一阶段的审计，除了几个小瑕疵外，没有发现NSA后门。

        2015年4月，完成了第二阶段的审计，结论是：

Truecrypt appears to be a relatively well-designed piece of crypto software. The NCC audit found no evidence of deliberate backdoors, or any severe design flaws that will make the software insecure in most instances.

That doesn’t mean Truecrypt is perfect. The auditors did find a few glitches and some incautious programming — leading to a couple of issues that could, in the right circumstances, cause Truecrypt to give less assurance than we’d like it to.

        一言蔽之：没有证明TrueCrypt有后门的证据。

        然而，就在大家弹冠相庆的时候，2015年9月，Google的安全研究人员James Forshaw宣布：发现了TrueCrypt的2个安全漏洞（编号为：CVE-2015-7358、CVE-2015-7359）。

        需要指出的是，安全社区的代码审计的结论（“没有证明TrueCrypt有后门的证据”）、Google发现的安全漏洞，这两者之间并不矛盾。安全漏洞是开发团队的无意之失，这并不是刻意而为的传说中的NSA后门。

        诚然，天外有天，人外有人，在安全社区组织人员进行代码审计的时候，终究还是没有找到这2个安全漏洞。这份荣誉，拱手让给了Google的人，当然，人家确实厉害，当得起。

        那么，对TrueCrypt的用户而言，应该怎么办？确切地说，Google发现TrueCrypt的安全漏洞了，但TrueCrypt却早已自我了断，用户应该怎么办？

        答案是：用VeraCrypt

        VeraCrypt成立于2013年6月，是从TrueCrypt衍生而来的开源项目，最新版本是于2016年10月17日发布的1.19版本。有意思的是，VeraCrypt的官网被托管在微软的开源平台CodePlex之上（网址是：https://veracrypt.codeplex.com）

        在TrueCrypt自我了断之后，VeraCrypt的成熟性和稳定性使得其用户大幅增长，而且，正是在TrueCrypt的安全漏洞被曝光之后，VeraCrypt借此一战成名：在8天之后就发布了1.15版本，完全修复了那2个安全漏洞。

        

        微软的BitLocker是Windows自带的磁盘加密工具，是完全闭源的软件，是否有后门是一个未知数，也许，永远是一个未知数。所以，让我们清楚地表态：如果对微软的BitLocker不放心，那么，就用VeraCrypt吧！

------------------------------------------------------------------------------------------------------

如果想研究、体验或者收藏TrueCrypt的完整版7.1a，可以打开如下的任一网址下载软件：

https://truecrypt.ch/downloads

https://github.com/AuditProject/truecrypt-verified-mirror?files=1

特别说明：如上所述，TrueCrypt 7.1a已经被证明是有安全漏洞的磁盘（文件）加密工具，仅供研究、体验或者收藏，不可用于对现实资料的加密。