未发现后门：开源加密软件TrueCrypt安全审计结束

TrueCrypt是一款流行的开源文件加密软件，该软件用户包括大量的“敏感人士”（如商人、政要、记者），因此其安全性一直广受关注。

2014年5月，开源加密软件TrueCrypt突然在其官网上警告Windows用户改用微软的BitLocker加密磁盘，并用大红字警告使用TrueCrypt不安全。

放心用吧，没后门

面对诸多针对TrueCrypt是否藏后门的担心，来自NCC安全审计人员和密码学专家对TrueCrypt进行了安全审计全方位的安全审计，好在结果让人长舒口气：

"TrueCrypt是一款相对设计优秀的加密软件，NCC审计没有发现软件存在后门的证据，或是任何可能导致软件不安全的严重的设计漏洞。"

一年前ISEC完成对TrueCrypt的第一阶段代码审计，虽然没有发现重大安全问题，不过发现了11个中等和低危的软件漏洞。

此次NCC的审计人员日前发表了一份长达21页的公开报告，公开了对TrueCrypt的随机数生成程序和关键密钥算法等加密方法的检查结果。

漏洞描述

报告中披露了TrueCrypt中的4个漏洞，不过这些漏洞都不影响到加密性。

1、密钥文件的混合从密码学角度上说不够彻底———低危
2、加密卷头部有未授权的密文——待定
3、CryptAcquireContext在某些场景下可能会失败——高危
4、AES加密可能受"缓存时序攻击"影响——高危

*参考来源THN，译/Sphinx，文章有修改，转载请注明来自Freebuf黑客与极客（FreeBuf.COM）