トゥルークリプト

TrueCrypt の最初のリリースは、「TrueCrypt チーム」と呼ばれる匿名の開発者によって行われました。^{[ 8 ]} 2004 年にバージョン 1.0 がリリースされた直後、TrueCrypt チームは、コンピュータ セキュリティ会社 SecurStar のマネージャーである Wilfried Hafner からメールを受け取ったと報告しました。^{[ 9 ]} TrueCrypt チームによると、Hafner はメールの中で、E4M の作者として認められている開発者Paul Le Rouxが、従業員として SecurStar からソース コードを盗んだと主張しました。 ^{[ 9 ]}さらに、Le Roux は E4M を違法に配布し、誰でもそのコードに基づいて派生作品を作成し、自由に配布することを許可する違法なライセンスを作成したとも述べられました。Hafner は、E4M のすべてのバージョンは常に SecurStar のみに属しており、Le Roux にはそのようなライセンスの下でリリースする権利はなかったと主張しています。^{[ 9 ] [ 10 ]}

このため、TrueCryptチームは直ちにTrueCryptの開発と配布を中止し、その旨をusenetを通じてオンラインで発表した。^{[ 9 ]} TrueCryptチームのメンバーであるDavid Tesařík氏は、Le Roux氏がチームに対し、自身とSecurStarの間で法的紛争があり、この件に関するいかなる問題についてもコメントしないよう法的助言を受けていると伝えたと述べた。Tesařík氏は、TrueCryptチームがTrueCryptの配布を継続した場合、Le Roux氏が最終的に責任を問われ、SecurStarに損害賠償を支払わされる可能性があると結論付けた。誠実に継続するためには、チームはE4Mライセンスの有効性を確認する必要があると彼は述べた。しかし、Le Roux氏がこの件について沈黙を守る必要があったため、彼はその正当性を確認も否定もできず、TrueCryptの開発は宙ぶらりんの状態となった。^{[ 9 ] [ 11 ]}

その後、訪問者は TrueCrypt の Web サイトにアクセスできないという問題を報告し、TrueCrypt チームによる公式の認可なしに、ソース コードとインストーラーを継続的に提供するサードパーティのミラーがオンラインに出現した。 ^{[ 12 ] [ 13 ]}

SecurStarは、自社ウェブサイトのFAQセクションで、E4Mと、もう一つの無料暗号化プログラムであるScramdiskの両方の所有権を主張している。同社は、これらの製品に関して、SecurStarは「オープンソースソフトウェアの長い伝統を持っていた」が、「競合他社は他にすることがなく、ソースコードを盗むことしかできなかった」ため、製品をクローズドソースにせざるを得なくなり、潜在的な顧客はセキュリティのためにコードをレビューする前に、多額の注文を行い、秘密保持契約に署名することを余儀なくされたと述べている。 ^{[ 14 ]}

ル・ルー自身は2016年3月の法廷審問でTrueCryptの開発を否定し、E4Mを書いたことは認めた。^{[ 15 ]}

数か月後の2004年6月7日、TrueCrypt 2.0がリリースされました。^{[ 1 ]}新バージョンには、オリジナルのTrueCryptチームとは異なるデジタル署名が含まれており、開発者は「TrueCrypt Foundation」と呼ばれるようになりました。ソフトウェアライセンスもオープンソースのGNU General Public License （GPL）に変更されました。しかし、ソフトウェアを構成するさまざまなライセンスを持つコンポーネントが広範囲にわたること、およびプログラムのリリースの合法性が争点となっていることから、数週間後の6月21日、GPLライセンスに関連する潜在的な問題を回避するために、バージョン2.1が元のE4Mライセンスの下でリリースされました。^{[ 1 ] [ 16 ]}

ソフトウェアのバージョン2.1aは、2004年10月1日にtruecrypt.sourceforge.netサブドメインでリリースされました。^{[ 1 ]} 2005年5月までに、元のTrueCryptウェブサイトが復活し、訪問者をにtruecrypt.sourceforge.netリダイレクトしましたtruecrypt.org。

2014 年 5 月 28 日、TrueCrypt の公式 Web サイトは、 HTTP 301 "Moved Permanently" ステータスでtruecrypt.org訪問者を にリダイレクトし始めました。このメッセージでは、ソフトウェアに修正されていないセキュリティ上の問題が含まれている可能性があり、Windows XP のサポート終了に伴い、TrueCrypt の開発は 2014 年 5 月に中止されたと警告しています。メッセージでは、より新しいバージョンのWindowsにはBitLockerを使用したディスク暗号化のサポートが組み込まれており、LinuxとOS X にも同様の組み込みソリューションがあるため、TrueCrypt は不要になっていると述べています。このページでは、TrueCrypt で暗号化されたデータは他の暗号化設定に移行することを推奨し、BitLocker への移行手順を提供しています。ソフトウェアのSourceForgeプロジェクト ページは、同じ最初のメッセージを表示するように更新され、ステータスは「非アクティブ」に変更されました。^{[ 17 ]}また、このページでは、復号化のみを許可する新しいソフトウェア バージョン 7.2 も発表されています。truecrypt.sourceforge.netsourceforge.net/truecrypt

当初、発表と新しいソフトウェアの信憑性が疑問視された。^{[ 18 ] [ 19 ] [ 20 ]}発表の理由を説明しようとする複数の理論が技術コミュニティ全体で浮上した。^{[ 21 ] [ 3 ]}

TrueCryptのサポート終了発表後まもなく、Gibson Research Corporationは「はい… TrueCryptはまだ安全に使用できます」というタイトルの発表と、TrueCryptの最後の公式非機能化バージョン7.1aをホストする最終リリースリポジトリを公開しました。^{[ 3 ]} 2022年現在、彼らは最終リリースリポジトリをホストしていません。

DragonFly BSD ^{[ 24 ]}および Linux ^{[ 25 ]}には、独立した互換性のある実装である tcplay が^あります。 ^{[ 24 ] [ 25 ] [ 26 ]}

デフォルトのLinux カーネルに含まれる dm-crypt モジュールは、Linuxバージョン3.13 以降、「tcw」と呼ばれるTrueCryptターゲットをサポートしています。^{[ 27 ] [ 28 ] [ 29 ]}

TrueCrypt でサポートされている個別の暗号は、AES、Serpent、およびTwofishです。さらに、 AES-Twofish、AES-Twofish-Serpent、Serpent-AES、Serpent-Twofish-AES、および Twofish-Serpentの 5 種類のカスケードアルゴリズムの組み合わせが利用可能です。 ^{[ 30 ]} TrueCrypt で使用できる暗号ハッシュ関数は、 RIPEMD-160、SHA-512、およびWhirlpoolです。^{[ 31 ]} 2007 年までの TrueCrypt の初期バージョンでは、ブロック暗号Blowfish、CAST-128、TDEA 、およびIDEAもサポートされていましたが、これらは64 ビットのセキュリティが比較的低く、特許ライセンスの問題があったため、非推奨になりました。 ^{[ 1 ]}

TrueCryptが提供する実質的なセキュリティは、適用される暗号化アルゴリズムとその脆弱性に完全に依存します。TrueCrypt自体は、脆弱な信頼済みアルゴリズムに対する追加の保護機能を提供するものではありません。

TrueCryptは現在、XTSモードを使用しています。^{[ 32 ]}これ以前は、TrueCryptはバージョン4.1から4.3aまではLRWモードを、バージョン4.0以前はCBCモードを使用していました。 ^{[ 1 ]} XTSモードはLRWモードよりも安全であると考えられており、LRWモードはCBCモードよりも安全です。^{[ 33 ]}

新しいボリュームはXTS モードでのみ作成できますが、TrueCrypt はLRW モードおよび CBC モードを使用する古いボリュームとの下位互換性があります。 ^{[ 1 ]}後のバージョンでは、CBC モードのボリュームをマウントするとセキュリティ警告が表示され、XTS モードの新しいボリュームに置き換えることが推奨されます。

ヘッダーキーとセカンダリヘッダーキー（XTSモード）は、使用するハッシュ関数に応じて、512ビットのソルトと1000回または2000回の反復を使用してPBKDF2で生成されます。 ^{[ 34 ]}

分析すると、TrueCrypt ボリュームにはヘッダーがなく、ランダムなデータが含まれていることがわかります。^{[ 41 ]} TrueCrypt ボリュームのサイズは、暗号モードのブロックサイズのため 512 の倍数であり^{[ 32 ]}、キー データは、システム暗号化の場合は 512 バイトが別々に保存されるか、 非システム コンテナの場合は 2 つの 128 kB ヘッダーになります。^{[ 42 ]}フォレンジック ツールは、ファイル サイズ、ヘッダーがないように見えること、ランダム性テストなどのこれらの特性を使用して、TrueCrypt ボリュームを識別しようとします。^{[ 43 ]}これらの特徴により、ファイルが TrueCrypt ボリュームであると疑う理由がありますが、ファイルの内容と空きディスク領域を純粋なランダム データで上書きする方法 (つまり、「shred」と「scrub」^{[ 44 ]} ) を使用してファイルを安全に消去することを目的としたプログラムもいくつか存在し、統計的にランダムなデータで構成されたファイルが TrueCrypt ファイルであると断定する明確な非難に対抗する合理的な疑念を生み出します。^{[ 35 ] [ 45 ]}

システムドライブまたはその上のパーティションが TrueCrypt で暗号化されている場合、否認できるのはそのパーティション上のデータのみです。TrueCryptブートローダーが通常のブートローダーに置き換わると、ドライブのオフライン分析によって TrueCryptブートローダーが存在することが確実に判明し、TrueCrypt パーティションも存在するという論理的な推論につながります。その目的を隠蔽する機能 (たとえば、「非システムディスク」や「ディスクエラー」などのBIOSのようなメッセージを表示して観察者を誤誘導するなど) はありますが、これらは TrueCrypt ブートローダーの機能を低下させるだけで、オフライン分析から TrueCrypt ブートローダーの内容を隠すことはできません。^{[ 46 ]}ここでも、否認性を維持するための推奨される方法は、隠しオペレーティングシステムを使用することです。^{[ 37 ]}

FlexNet Publisherまたは SafeCast ( Adobe PhotoshopなどのAdob​​e製品のソフトウェアの不正コピー防止に使用されている)を使用するサードパーティ製ソフトウェアをインストールすると、TrueCrypt で暗号化された Windows パーティション/ドライブ上の TrueCrypt ブートローダーが破損し、ドライブが起動不能になる可能性があります。^{[ 50 ]}これは、FlexNet Publisher が最初のドライブ トラックに書き込み、そこに存在する非 Windows ブートローダーを上書きするという不適切な設計が原因です。^{[ 51 ]}

TrueCrypt はキーを RAM に保存します。通常のパーソナルコンピュータでは、DRAM は電源が切れた後も数秒間（温度が下がればそれ以上）その内容を保持します。メモリの内容が多少劣化しても、さまざまなアルゴリズムによってキーをインテリジェントに復元できます。この方法はコールドブート攻撃として知られており（特に、電源オン、サスペンド、または画面ロックモードのノートコンピュータに適用されます）、TrueCrypt で保護されたファイルシステムへの攻撃に成功しています。^{[ 53 ]}

TrueCrypt のドキュメントには、攻撃者が物理的にアクセスし、侵害されたコンピュータでユーザーが再び TrueCrypt を使用した場合、TrueCrypt はコンピュータ上のデータを保護できないと記載されています (これは、盗難、紛失、または押収されたコンピュータの一般的なケースには当てはまりません)。^{[ 54 ]}コンピュータに物理的にアクセスできる攻撃者は、たとえば、ハードウェア/ソフトウェアキーロガー、メモリをキャプチャするバス マスタリングデバイスをインストールしたり、その他の悪意のあるハードウェアまたはソフトウェアをインストールしたりして、暗号化されていないデータ (暗号化キーとパスワードを含む) をキャプチャしたり、キャプチャしたパスワードまたは暗号化キーを使用して暗号化されたデータを復号化したりすることができます。したがって、物理的なセキュリティは、安全なシステムの基本的な前提です。このような攻撃は、しばしば「イービル メイド攻撃」と呼ばれます。^{[ 55 ]}

TrueCryptのドキュメントには、マルウェアがインストールされているコンピュータではTrueCryptがデータを保護できないと記載されています。マルウェアはキーストロークを記録する可能性があり、その結果、パスワードが攻撃者に漏洩する可能性があります。^{[ 56 ]}

オーストリアのソフトウェア開発者 Peter Kleissner がBlack Hat Technical Security Conference USA 2009で発表したMBRルートキット「Stoned」ブートキット^{[ 57 ] [ 58 ]}は、 TrueCrypt の MBR を改ざんし、TrueCrypt のボリューム全体の暗号化を効果的に回避できることが示されています。^{[ 59 ] [ 60 ] [ 61 ] [ 62 ] [ 63 ]}暗号化ソフトウェアがTPMなどのハードウェアベースの暗号化技術に依存していない場合、または暗号化されたオペレーティングシステムが実行されている間に管理者権限で攻撃が行われた場合、潜在的にすべてのハードディスク暗号化ソフトウェアがこの種の攻撃の影響を受ける可能性があります。^{[ 64 ] [ 65 ]}

このブートキットを悪用できる攻撃シナリオは2種類あります。1つ目は、PCがWindowsを起動した後、ユーザーが管理者権限でブートキットを起動する必要があるシナリオです。2つ目は、ハードウェアキーロガーと同様に、悪意のある人物がユーザーのTrueCryptで暗号化されたハードディスクに物理的にアクセスする必要があるシナリオです。この場合、ユーザーのTrueCrypt MBRをStonedブートキットのMBRに変更し、ハードディスクをユーザーのPCに戻す必要があります。これにより、ユーザーがPCを起動して起動時にTrueCryptパスワードを入力すると、それ以降はブートシーケンスでStonedブートキットがTrueCryptのMBRよりも先にロードされるため、Stonedブートキットがパスワードを傍受します。1つ目のタイプの攻撃は、通常どおり適切なセキュリティ対策（例えば、信頼できない実行ファイルを管理者権限で実行しないなど）によって防止できます。 2つ目のケースは、暗号化されたハードディスクが信頼できない人物の手に渡った可能性があるとユーザーが疑う場合、ハードディスクから直接起動するのではなく、TrueCryptのレスキューディスクを使用して暗号化されたオペレーティングシステムを起動することで、ユーザーが正常に無効化できます。レスキューディスクを使用すると、ユーザーはTrueCryptのMBRをハードディスクに復元できます。^{[ 66 ]}

TrueCryptのウェブサイトのFAQセクションには、Trusted Platform Module（TPM）はセキュリティの面で信頼できないと記載されています。攻撃者がコンピュータに物理的または管理的にアクセスし、その後ユーザーがそのコンピュータを使用した場合、コンピュータが攻撃者によって変更されている可能性があり、たとえばハードウェアキーストロークロガーなどの悪意のあるコンポーネントを使用してパスワードやその他の機密情報が取得されている可能性があります。TPMは攻撃者がコンピュータを悪意を持って変更することを防ぐことができないため、TrueCryptはTPMをサポートしません。^{[ 65 ]}

2008 年 7 月、金融犯罪の疑いのあるブラジルの銀行家ダニエル・ダンタスから TrueCrypt で保護された複数のハードドライブが押収された。ブラジル国立犯罪研究所 (INC) は、TrueCrypt で保護されたディスク上のファイルにアクセスしようと 5 か月試みたが、成功しなかった。彼らは連邦捜査局 (FBI)の協力を得て、FBI は12 か月以上にわたってダンタスのディスクに対して辞書攻撃を行ったが、それでも復号化できなかった。^{[ 81 ] [ 82 ]}

2012年、米国第11巡回控訴裁判所は、ジョン・ドウのTrueCryptユーザーに対し、複数のハードドライブの復号化を強制することはできないとの判決を下した。 ^{[ 83 ] [ 84 ]}裁判所の判決では、FBIの鑑識官は、ドウがドライブを復号化するか、FBIにパスワードを提供しない限り、TrueCryptの暗号化を突破できず（したがってデータにアクセスできなかった）、ドウの黙秘権（合衆国憲法修正第5条）により、政府が彼らにそうすることを法的に阻止できると判断された。^{[ 85 ] [ 86 ]}

2013年8月18日、ジャーナリストのグレン・グリーンウォルドのパートナーであるデビッド・ミランダは、ベルリンからリオデジャネイロに向かう途中、ロンドンのヒースロー空港でロンドン警視庁に拘束された。彼は、エドワード・スノーデンが引き起こした2013年の世界的な監視活動の暴露に関する機密文書が含まれているとされる外付けハードドライブを所持していた。ドライブの内容はTrueCryptで暗号化されており、当局は「資料へのアクセスは極めて困難」と述べている。^{[ 87 ]}キャロライン・グッド警視は、ハードドライブには約60ギガバイトのデータが含まれており、「現在までにアクセスできるのはわずか20ギガバイト」であると述べた。さらに、資料の解読プロセスは複雑であり、「押収以来、これまでに復元された文書はわずか75件」であるとも述べた。^{[ 87 ]}

ガーディアン紙の寄稿者ナオミ・コルビンは、これらの発言は誤解を招くものであり、グッドは実際には暗号化された資料について言及していたのではなく、ハードドライブ上の暗号化されていない未割り当て領域から復元された削除済みファイル、あるいはミランダの私物からの平文文書について。 ^{[ 88 ]}グリーンウォルドは、デモクラシー・ナウ！とのインタビューでこの評価を支持し、英国政府がミランダの所持品を保持することを裁判所に許可するよう求める宣誓供述書を提出したことに言及した。その要求の根拠は、暗号化を解読できず、彼が所持していた文書のうち75件にしかアクセスできなかったことであり、グリーンウォルドは「そのほとんどはおそらく彼の学業や個人的な使用に関連するものだった」と述べた。 ^{[ 89 ]}

2013年10月、英国とフィンランドの活動家ラウリ・ラブは、米国政府機関のコンピューターにハッキングした罪と、同様の行為を共謀した罪で国家犯罪対策庁（NCA）に逮捕された。 ^{[ 90 ] [ 91 ] [ 92 ]}政府は彼の電子機器をすべて押収し、デバイスの復号に必要な鍵を提供するよう要求した。ラブはこれを拒否した。2016年5月10日、地方裁判所判事（治安判事裁判所）は、押収品の中に含まれていたSDカードとハードドライブ上のTrueCryptファイルの暗号化キーまたはパスワードをラブに引き渡すよう強制するというNCAの要求を却下した。^{[ 93 ]}

2014年2月、アリゾナ州不動産局IT部門の職員であるジェームズ・デシルバが、インターネット上でわいせつな画像を共有したことにより未成年者を性的搾取した容疑で逮捕された。TrueCryptで暗号化された彼のコンピュータは押収され、デシルバはパスワードの開示を拒否した。マリコパ郡保安官事務所の鑑識捜査官は、彼の保存されたファイルにアクセスできなかった。^{[ 94 ]}

韓国のドゥルキング事件の特別検察官捜査において、特別検察官はパスフレーズを推測することで、TrueCryptで暗号化されたファイルの一部を復号した。^{[ 95 ] [ 96 ]}特別検察官は、隠されたボリュームは特に扱いが難しかったと述べた。彼は、ドゥルキンググループがパスフレーズの一部として他の場所で使用していた単語やフレーズを試して、推測することで、暗号化されたファイルの一部を復号した。^{[ 97 ] [ 98 ] [ 99 ] [ 100 ]}

2014年5月28日のTrueCryptの提供終了の発表と同時に、ソフトウェアの新しいバージョン7.2も発表されました。以前のリリースからのソースコードの多くの変更点の中には、TrueCryptライセンスの変更も含まれており、派生製品にTrueCryptの帰属表示と公式ウェブサイトへのリンクを含めることを要求する特定の文言が削除され、ライセンスバージョン3.1が形成されました。^{[ 111 ]}

TrueCryptの監査のための資金調達に協力した暗号学者のマシュー・グリーンは、TrueCryptがライセンスの変更を拒否したことと、退社時の警告との間に関連性があると指摘した。「彼らはすべてを台無しにしてしまった。今では、コードに大きな悪質な脆弱性があると考える人が多いため、誰も信用しなくなるかもしれない。」^{[ 112 ]}

2014年6月16日、唯一メールに返信していたとされるTrueCrypt開発者が、標準オープンソースライセンスでリリースされたフォークにTrueCryptの商標を使用する許可を求めるMatthew Greenからのメッセージに返信した。許可は拒否され、その結果、既知の2つのフォークはVeraCryptとCipherShedという名前になり、再実装はTrueCryptではなくtc-playという名前になった。^{[ 113 ] [ 114 ]}

• FileHippoに掲載されている過去のバージョン
• GitHub上の過去のバージョン
• 過去のバージョンは、 2014年10月10日にtruecrypt.chのWayback Machineにアーカイブされています。
• ギブソン・リサーチ・コーポレーションのウェブサイトに掲載されている最新版
• TrueCrypt 7.1aのオリジナルオンラインマニュアルの部分的なミラー