L&L est un blog "libéral "de réflexions afin de débattre de tous thèmes.Ni socialistes,ni conservateurs,les libéraux expriment une troisième dimension de la vie politique.Il est temps qu'elle ait sa voix en France,sans caricature ni compromission.Nous voulons une socièté de libertés,une démocratie véritable.

La mysterieuse mise a mort de TrueCrypt

par AL de Bx 29 Mai 2014, 22:54 Education-Recherche et Développement

Sécurité : Mercredi soir, le logiciel de chiffrement de disque dur TrueCrypt, utilisé par des experts, activistes et journalistes partout dans le monde a "annoncé" l'arrêt de son développement. Vraie mise à mort ou stratagème ? « Ne téléchargez plus TrueCrypt." Voilà ce qu’on peut lire chez de nombreux spécialistes en sécurité informatique depuis mercredi 28 mai, au soir. Le célèbre logiciel de chiffrement de disque dur est devenu un objet à éviter à tout prix depuis le changement brutal de son site mercredi. Le site officiel a été remplacé par une page, visiblement écrite à la va-vite, surmontée du message "ATTENTION : Utiliser TrueCrypt n'est pas sûr, il peut contenir des des failles de sécurité non-comblées". Les premiers utilisateurs ont évoqué un défacement du site par un tiers, même si rien ne permet d’en être sûr. Selon la nouvelle page, le développement de ce logiciel de référence est officiellement arrêté. Cela à cause de l’arrêt du support de Windows XP par Microsoft : ce serait le seul système populaire sans outil de chiffrement intégré. La page recommande, pour les utilisateurs de Windows, d’utiliser l’outil de chiffrement de disque intégré au système, Bitlocker. Concrètement, cet outil est réservé aux versions professionnelles et "ultimes" de l’OS de Microsoft. Il est difficile de croire que les développeurs (anonymes) de TrueCrypt abandonneraient leur outil au profit d’une telle solution. Il l’est autant de savoir ce qui aurait poussé les développeurs à se saborder de la sorte. Ce comportement incohérent est complété par la mise en ligne d’une nouvelle version du logiciel (7.2), alors que la dernière fonctionnelle (7.1a) date de 2012.

Une nouvelle version mise en ligne

Cette nouvelle version, que la Terre entière conseille d’éviter, a pourtant les attraits d’une version officielle. L’application est distribuée par Sourceforge, comme les précédentes, et est signée avec une clé appartenant aux développeurs. Mais que fait cette version mystère ? The Register a testé la mouture Windows dans une machine virtuelle et est tombée sur une (nouvellle) surprise. L’application, exécutée sur Windows 8.1, a été bloquée par la protection

SmartScreen. Sur "un système plus ancien", l’application se lance et affiche le message de la nouvelle page d’accueil du site. Surtout, elle refuse de chiffrer la moindre donnée. Concrètement, ce nouvel installeur est bien plus une répétition de l’avertissement qu’une vraie version de l’application, selon les constatations du site britannique. Ce revirement a lieu en plein audit du code de l’application. Financé (crowdfundé) en octobre sur IndieGogo, cet audit devait notamment s’assurer du vrai niveau de sécurité du logiciel, jusqu’ici largement indéterminé. La première phase de l’audit du code, terminée à la mi-avril, avait révélé quelques problèmes, aucun ne remettait en cause la qualité du logiciel. Suite à la lecture de l’audit, l’expert en sécurité Bruce Schneier déclarait simplement qu’il continuerait à l’utiliser.

“Un vrai au revoir” ?

Après l’audit du code, la deuxième phase devait débuter : une analyse cryptographique en bonne et due forme. Comme le rappelle The Register, les responsables de l’audit ont d’ailleurs annoncé mercredi espérer "avoir une grande nouvelle à annoncer cette semaine" sur leur page IndieGogo. Pour sa part, le blogueur spécialisé en cybersécurité Brian Krebs dit simplement “au revoir” au logiciel. Interrogé par M. Krebs, Matthew Green, qui a co-organisé l’audit de TrueCrypt, estime que ce sont bien les développeurs eux-mêmes qui ont décidé de couler le bateau. Pour le spécialiste, l'équipe du logiciel aurait pu régler certains problèmes pour permettre à une autre équipe de le reprendre. La licence du code est un des points noirs de TrueCrypt, laissé en suspens. "Peut-être que ce qu'ils ont fait aujourd'hui rend [la reprise du code] impossible. Ils mettent le tout en feu, et désormais sûrement personne n'y fera plus confiance, parce qu'ils penseront qu'il y a une énorme vulnérabilité dans le code", prévoit Matthew Green. Contactés par les responsables de l’audit, les développeurs de TrueCrypt restent muets. Donc, que s’est-il passé ? Un ou des pirates ont-ils vraiment eu accès au

serveur de TrueCrypt et monté une opération élaborée ? Y a-t-il eu une divergence entre les développeurs ou un vrai problème qu’ils estiment irréparable ? Quelqu’un a-t-il menacé de révéler leur identité ? S’agit-il d’une requête légale de l’Etat américain, dont les développeurs ne pourraient pas parler ? L’été dernier, le service de messagerie sécurisée Lavabit avait fermé ses portes sans donner d’explication, suite à une requête des autorités américaines lui demandant d’installer du “matériel de surveillance” dans son système. C’est une des pistes les plus graves pour TrueCrypt et, pourtant, l’une des plus évoquées. Peu importe la raison ou l’auteur de ce stratagème, la mise à mort de la version actuelle de TrueCrypt semble prendre corps. Que ces méthodes viennent des développeurs eux-mêmes ou d’un tiers, le discrédit est jeté sur l’outil de sécurité. Pour l’instant, il n’y a plus que les comptes parodiques de la NSA pour le conseiller... Jusqu’à ce qu’une autre équipe reprenne éventuellement le flambeau. Affaire à suivre.