Gibt’s doch noch Hoffnung für TrueCrypt?

Gestern hatte ich ja im Artikel Warnung: TrueCrypt unsicher – Entwicklung eingestellt? über den merkwürdigen und bisher nicht geklärten Vorfall bei TrueCrypt berichtet. Sieht so aus, als ob das Projekt eingestellt wird – oder die Site ist gehackt. Jedenfalls wird aktuell vor der Verwendung von TrueCrypt „wegen Sicherheitslücken“ gewarnt. Möglicherweise kommt das Projekt aber wieder auf die Füße. Es schlug gestern im Web wie eine Bombe ein, dass der Entwickler vor der weiteren Verwendung von TrueCrypt (wegen Sicherheitslücken) warnt und das Produkt nicht weiter verwendet werden soll. Der Entwickler gab zudem vorgeblich bekannt, dass er die Arbeit an diesem Produkt im Mai eingestellt habe. Der ganze Vorgang ist extrem merkwürdig und m.W. bisher nicht aufgeklärt. Es gibt einerseits einen Security-Audit der Software, der noch nicht abgeschlossen ist – aber bisher nichts gravierendes an Sicherheitslücken aufgedeckt hat. Und der Verweis auf Bitlocker, was man zum Verschlüsseln verwenden solle, ist ein Witz. Unter Linux, OS X oder den Consumer-Versionen von Windows habe ich kein Bitlocker. Andererseits ist der Entwickler oder das Team unbekannt. Es gibt Spekulationen, dass der Entwickler möglicherweise von NSA oder FBI bzw. andern Regierungsorganisationen zur Aufgabe des Projekts gezwungen wurde (ähnlich wie der eMail-Dienst Lavabit). Hat dann eine Reihe Enthusiasten auf den Plan gerufen. Die Agentur Reuters berichtet in diesem Artikel, dass ein Team von Sicherheitsexperten versucht, das TrueCrypt-Projekt aus den Quelldateien zu rekonstruieren, um dann den Code zu verbessern. Der Quellcode des TrueCrypt-Projekts ist seit Jahren öffentlich verfügbar, wenn auch der Entwickler nie in Erscheinung getreten ist und bisher anonym geblieben ist. Bleibt nur zu hoffen, dass das Projekt gelingt. Dann wäre der Versuch des Entwicklers (wenn das denn wirklich der Fall war), das Produkt zu beerdigen, ins Leere gelaufen. Nachtrag: Bei heise.de findet sich zwischenzeitlich dieser Artikel. Angeblich haben die Entwickler das Interesse an dem Thema verloren und stehen einer Pflege des Projekts durch eine Community kritisch gegenüber. Allerdings ist das alles ebenfalls spekulativ, da niemand die Entwickler kennt und alles nur über „hear say“ läuft.   Ähnliche Artikel: a1: Warnung: TrueCrypt unsicher – Entwicklung eingestellt? a2: Crowdfunding ermöglicht TrueCrypt Sicherheitsaudit a3: TrueCrypt: Erst-iSEC-Audit abgeschlossen–ist aktuell sicher