Цифровой журнал «Компьютерра» № 221

Инициатива True Crypt Audit получила широкий резонанс и привлекла гораздо больше пожертвований, чем рассчитывали её организаторы. Всего они собрали около $63 тыс. и 33,71 биткойна (что на момент публикации статьи составляло более $14 тыс.). Итого на аудит поступило втрое больше изначально требуемой суммы. 

С тех про прошло полгода, за которые авторы не слишком баловали новостями о ходе работ даже своих инвесторов. Обновления о статусе аудита выходили крайне редко и обычно служили простым уведомлением: мы живы и тратим ваши деньги вместе с нанятыми специалистами.

Серьёзный сдвиг с мёртвой точки произошёл только в минувший понедельник. На сайте проекта появился отчёт компании iSEC, подписанный двумя экспертами в области безопасности (ещё четверо указаны как рецензенты).

К настоящему времени в последней версии (7.1a) удалось обнаружить одиннадцать уязвимостей, четыре из которых признаны угрозами среднего уровня. 

Среди них слабый алгоритм деривации ключа-заголовка, возможность выгрузки конфиденциальной информации из стека ядра, различные проблемы в декомпрессоре загрузчика и использование драйвером ядра Windows ненадёжной функции memset для очистки области памяти, содержащей конфиденциальные данные.

_{Главные уязвимости TrueCrypt 7.1a (изображение: opencryptoaudit.org).}

«Исходный код [утилиты TrueCrypt] для загрузчика и драйвера ядра Windows не соответствует принятым стандартам безопасности, — сказано в отчёте. — Это обусловлено использованием небезопасных или устаревших функций, несовместимых типов переменных и так далее».

Все найденные уязвимости подробно разобраны на тридцати двух страницах документа. По мнению аналитиков, их практическое использование представляет собой довольно сложную задачу, поэтому рядовым пользователям не стоит отказываться от TrueCrypt лишь по этой причине. Каких-то намеренно созданных программных закладок, ослабляющих криптографическую защиту, аудит не выявил. 

Их отсутствие подтверждается и сравнением готовых бинарных файлов с теми, которые участники аудита компилировали самостоятельно из исходных кодов. Подобрав подходящие опции сборки, им всё-таки удалось получить идентичный результат.

«Результаты проверки пока не пугают меня, — сообщает профессор Грин в интервью изданию Ars Technica. — Хотя качество кода оказалось не столь уж высоким, ничего страшного в нём нет, и это обнадеживает».

_{Создание зашифрованного раздела в Mac OS X с помощью TrueCrypt (изображение: truecrypt.org).}

В следующем году утилита TrueCrypt может отметить своё десятилетие, однако её авторы до сих пор остаются в тени. Отдельные следы ведут то в Чехию, то в штат Невада, но не приводят к реально существующим людям.

Профессор Грин связался с Дэвидом Морганом, от имени которого размещаются обновления на сайте TrueCrypt.com. Собеседник выразил интерес к результатам аудита и признал наличие как минимум одной уязвимости.

«Предполагалось, что TrueCrypt защитит вас от некоторых проблем, а не будет гарантированно надёжным средством, как этого хотелось бы некоторым», — ответил он.

Теперь команда Open Crypto Audit Project приступает ко второй фазе аудита — непосредственной проверке в разных сценариях атак криптостойкости файловых контейнеров и дисковых разделов, защищённых с помощью TrueCrypt.

К оглавлению

К буму носимых компьютеров будь готов! Евгений Золотов

Опубликовано 15 апреля 2014

Сегодня, 15 апреля, Google начинает продажи своих очков расширенной реальности Glass. Правда, по цене в $1 500 плюс налоги, только в США и всего на один день. Но даже если трудности не пугают, не расстраивайтесь, если упустите эту возможность. Во-первых, сегодня же «стартуют» и киберочки Moverio BT-200 от Epson — чуть более громоздкие, но едва ли менее функциональные (ОС Android) и всего за $700. Во-вторых, всё говорит о том, что ближайшие год-два-три станут переломными не только для киберочков, но и вообще для класса носимой электроники: мы на пороге бума носимых компьютеров — и, пережив его, вероятно, отведём им столь же значительную роль в нашей жизни, какую до сих пор отводили разве что телефону.

Если помните, носимые компьютеры (именуемые в английском «wearables») отличаются от прочих компьютеров — мобильных смартфонов и планшеток, портативных ноутбуков, стационарных десктопов — не столько подвижностью, сколько степенью участия в жизни пользователя. Прочие компьютеры активны только тогда, когда мы уделяем им внимание. Носимые же должны быть активны постоянно и впитывать реальность вместе с человеком, помогать нам каждую секунду в этой самой реальности разбираться.