Parte 2: El misterioso caso de la extraña desaparición de TrueCrypt

Ha pasado poco más de año y medio, y la desaparición de TrueCrypt sucedida en la primera mitad del 2014, parece ser irreversible. Recordemos que TrueCrypt era una utilidad gratuita, de código abierto, para cifrar carpetas, archivos o particiones de tu disco duro, compatible con múltiples sistemas operativos.

La desaparición de TrueCrypt sucedió algunos meses después de las filtraciones de Edward Snowden, y tuvo lugar durante una auditoría abierta en la que participaban desarrolladores de todo el mundo para buscar posibles vulnerabilidades. Hay quien afirma que fueron en parte las afirmaciones de Snowden lo que motivó la auditoría sobre TrueCrypt. Más información en una entrada anterior de este blog, véase: "El extraño caso de la misteriosa desaparición de TrueCrypt"

Los creadores de TrueCrypt no sólo permanecen hasta hoy (principios de 2016) en el anonimato, sino que decidieron no liberar el código fuente al abandonar el proyecto, como han hecho otros desarrolladores de código abierto. Sin embargo, como parte de la auditoría de seguridad que se venía realizando sobre TrueCrypt por un grupo internacional de voluntarios, el código estaba disponible para ellos y esto ha permitido la generación de nuevas alternativas de software.

Cabe señalar que, dada la disponibilidad de herramientas como BitLocker (Microsoft) en algunos sistemas operativos (Windows 7, 8 y 10 Enterprise o Ultimate), ya no es tan imperioso contar con algo como TrueCrypt, como lo era hace algunos años.

Sin embargo BitLocker específicamente no ha logrado algo que TrueCrypt podía hacer: interoperabilidad de contenedores cifrados entre múltiples sistemas operativos. Por ejemplo: TrueCrypt permitía cifrar un medio de almacenamiento USB (memory stick o disco duro removible) que por su naturaleza podría ser fácilmente olvidado o robado y abrir dicho medio de almacenamiento tanto en Linux como Windows sin mayor problema.

También existía una versión "portátil" (portable) de TrueCrypt con lo que ni siquiera era necesario hacer una instalación para, digamos, poder abrir un disco duro USB en una máquina prestada. Por ejemplo, al ir de viaje y tener necesidad de acceder a tus archivos en la máquina del centro de negocios de un hotel.

¿Qué alternativas tenemos entonces, si necesitamos un cifrador interoperable que no nos obligue a adquirir las versiones más costosas de nuestro sistema operativo?

Si queremos seguir por la vía del código abierto, algunas alternativas son:

• CipherShed  https://www.ciphershed.org/
• VeraCrypt  https://veracrypt.codeplex.com/
• TrueCrypt  https://truecrypt.ch/downloads/

Examinemos ahora sus relativas ventajas y desventajas.

CipherShed

Este software se desarrolló como una rama (fork) del código fuente de TrueCrypt. Heredó mucho de la filosofía de operación (y el código) de TrueCrypt. La misión de los desarrolladores era corregir las vulnerabilidades (todas menores) encontradas durante la auditoría de TrueCrypt. El formato de los archivos es directamente compatible con TrueCrypt, por lo que hay compatibilidad hacia volúmenes generados con la aplicación anterior.

Para los paranóicos: uno de los principales impulsores del proyecto CipherShed es Jason Pyeron, quien ha trabajado para una de las múltiples agencias de inteligencia del gobierno americano, denominada DISA (Defense Information Systems Agency www.disa.mil). Esto hace que los más desconfiados se pregunten sobre las motivaciones y la integridad de este desarrollador, porque oportunidades para introducir caballos de Troya, las hay. Aún así, el código es abierto y en principio cualquiera puede revisarlo en busca de posibles vulnerabilidades.

Ventajas:

• Incorpora las recomendaciones emitidas durante la auditoría de TrueCrypt.
• Código abierto.
• Compatibilidad directa con contenedores de TrueCrypt.

Desventajas

• Requiere compilar las versiones para OS-X y Linux.
• El ritmo de desarrollo no parece haber sido tan dinámico como el de VeraCrypt.
• Incluso haciendo a un lado las teorías de conspiración, la protección criptográfica parece no ser tan robusta como con VeraCrypt.

VeraCrypt

Este desarrollo surgióinicialmente como una rama del código fuente de TrueCrypt, antes de la desaparición de este último. Sin embargo, casi desde el principio (2013) los desarrolladores decidieron cambiar el formato de los contenedores para mejorar la protección. Esto trajo como consecuencia que VeraCrypt fue (temporalmente) incompatible con los contenedores generados por TrueCrypt y era necesario migrar minuciosamente toda la información que estuviera protegida por el formato anterior. El día de hoy VeraCrypt soporta los dos formatos, para recuperar la compatibilidad, pero el formato preferido (y más robusto) es el nuevo.

Ventajas

• Las mismas ventajas de CipherShed, incluyendo compatibilidad con volúmenes creados por TrueCrypt. 
• La interfaz de usuario es prácticamente idéntica a TrueCrypt.
• Incorpora un método criptográfico mucho más robusto para proteger los contenedores (archivos cifrados). Esto está relacionado con el número de iteraciones para la derivación de las llaves, que en TrueCrypt es del orden de mil (1000) y en VeraCrypt es del orden de medio millón (500,000) de iteraciones.
• Instaladores pre-compilados.
• El ritmo de desarrollo es intenso. Han habido periodos (en el 2015 por ejemplo) en los que se libera una versión nueva casi cada mes. Esto es un indicador del interés por parte de los desarrolladores de VeraCrypt y su comunidad de usuarios.

Desventajas

• Un ritmo de desarrollo intenso puede introducir sus propios errores, fallas o vulnerabilidades.
• El montaje y desmontaje de contenedores cifrados es más lento que con otras aplicaciones, quizá como resultado de la mejor protección criptográfica.

TrueCrypt

¡Si! ¡Todavía podemos descargar TrueCrypt desde sitios no-oficiales, con una firma hash válida.

Si no somos paranóicos, si no nos preocupa aquello de "TrueCrypt is Not Secure As... " (NSA), o si no tenemos nada que ocultar y lo único que queremos es protegernos de miradas indiscretas o del malandrín que nos asaltó y se robó nuestra Laptop, TrueCrypt puede ser suficiente protección todavía.

Debemos recordar que en la Seguridad Informática no existe la protección perfecta. Sólo existen niveles de protección que pueden, o no, ser adecuados para enfrentar el nivel de riesgo en nuestro entorno. Si el nivel de riesgo es bajo, (¿qué tan paranóicos somos?), entonces el nivel de protección también puede ser bajo.

Habiendo dicho eso, la protección criptográfica de TrueCrypt no ha sido rota en forma pública todavía. Todo son rumores sin evidencia comprobable.

Ventajas

• TrueCrypt fue auditado y NO se encontraron vulnerabilidades graves, aunque sí se encontraron fallas.

Desventajas

• NADIE está reparando las fallas actualmente. La licencia de código lo impide.
• El estilo de programación resultó ser bastante desordenado. La clase de cosas que haría un programador o dos en sus ratos libres. ¿Quizá el esfuerzo de mantener al día TrueCrypt llegó a ser excesivo para sus desarrolladores? ¿Quizá la misteriosa desaparición sólo fue una manera de despedirse con estilo? Quizá nunca lo sabremos.

Conclusión

Si somos algo paranóicos, en realidad tampoco podemos estar seguros de que no se hayan introducido caballos de Troya dentro del código fuente de CipherShed o VeraCrypt. Sólo una auditoría abierta como la emprendida sobre TrueCrypt podría arrojar luz al respecto.

Lamentablemente, al no haber una aplicación predominante en este momento, el esfuerzo de auditar a múltiples aplicaciones podría ser excesivo para la comunidad de desarrollo de código abierto, que lo hizo en forma voluntaria en el caso de TrueCrypt.

Si nuestra necesidad es protegernos de atacantes oportunistas (como un asaltante en la calle, o la persona que hace la limpieza por las noches), entonces cualquiera de las tres aplicaciones anteriores es suficientemente robusta.

Si nuestra necesidad es protegernos de un atacante determinado, VeraCrypt parece ser superior, pero si por "atacante" pensamos en una organización gubernamental, dicha organización también tendría forma de "pedirnos amablemente" que des-encriptemos nuestro sistema de archivos por "las buenas" o si no...

La seguridad perfecta no existe. Sólo podemos encontrar herramientas acordes con el nivel de riesgo percibido.

Truecrypt parecía ser algo fenomenal para enfrentar cualquier nivel de riesgo. Lamentablemente, es poco probable que volvamos a tener algo como TrueCrypt.