Ternyata TrueCrypt tidak aman

Wow, judulnya kontroversial. Bukan sekedar cari sensasi, tapi informasi tersebut kami dapatkan ketika membuka halaman website resmi TrueCrypt. Hal pertama yang akan kite temui waktu awal membuka adalah tulisan seperti ini.

Dapat kita lihat dengan jelas, tulisan merah pada atas halaman tersebut.sudah pernah kita review sebelumnya, bagaimana kecanggihan enkripsi data milik truecrypt.Pada bulan Mei 2014, developer truecrypt menyatakan bahwa proyeknya dihentikan, bahkan diumumkan di web seperti yang kami perlihatkan diatas. Jika dicermati, bahkan disarankan pengguna untuk meninggalkan truecrypt karena aplikasi ini sudah tidak aman. Hal ini diungkapkan karena telah ditemukan beberapa metode yang dapat digunakan untuk membongkar enkripsi yang digunakan truecrypt. Dan ketika dapat dibongkar, maka sia - sia jika kita sudah melakukan enkripsi pada file kita menggunakan truecrypt. Bahkan isu yang berkembang, NSA telah memasang backdoor pada aplikasi ini, sehingga mereka dengan mudah membongkar file yang terenkripsi truecrypt.

NCC telah melakukan audit keamanan truecrypt. Tujuan audit ini adalah untuk menguji apakah truecrypt aman atau tdak. NCC melakukan pengujian source code review dll . Hasil pengujian menyimpulkan bahwa ditemukan 4 celah keamanan pada aplikasi ini. Hanya saja menurut peneliti Matthew Green yang memimpin audit ini, celah keamanan yg ditemukan tersebut tidaklah berbahaya dan dapat diperbaiki. Selanjutnya peneliti yang juga merupakan Professor Cryptography pada Johns Hopkins University menambahkan tidak ditemukan adanya backdoor pada aplikasi ini. Sehingga beliau menyatakan walaupun ada beberapa celah keamanan pada Truecrypt, aplikasi ini masih aman untuk digunakan. Menurut beliau beberapa teknik yang dilakukan penyerang untuk membongkar aplikasi ini membutuhkan akses langsung terhadap komputer user. Berikut kutipan pernyataan dari Matthew Green:

The TL;DR is that based on this audit, Truecrypt appears to be a relatively well-designed piece of crypto software. The NCC audit found no evidence of deliberate backdoors, or any severe design flaws that will make the software insecure in most instances.
That doesn’t mean Truecrypt is perfect. The auditors did find a few glitches and some incautious programming — leading to a couple of issues that could, in the right circumstances, cause Truecrypt to give less assurance than we’d like it to.

Laporan lengkap hasil audit truecrypt dapat dilihat disini.

https://opencryptoaudit.org/reports/TrueCrypt_Phase_II_NCC_OCAP_final.pdf

https://opencryptoaudit.org/reports/iSec_Final_Open_Crypto_Audit_Project_TrueCrypt_Security_Assessment.pdf

Isu hacker

Melihat tampilan website truecrypt di halaman awal yang menyarankan agar pengguna meninggalkan truecrypt sempat memancing spekulasi bahwa hal tersebut adalah ulah hacker, bahkan muncul spekulasi lanjutan bahwa hal tersebut dilakukan oleh microsoft karena di halaman awal tersebut user disarankan untuk menggunakan fasilitas enkripsi milik microsoft yaitu bitlocker.

Namun hal tersebut telah dikonfirmasi, bahwa pernyataan untuk meninggalkan truecrypt merupakan pernyataan resmi developer. Dengan ini, user bisa aman dan mengetahui bahwa sistem enkripsi truecrypt ternyata tidaklah aman, dan user bisa bijak untuk memilih suatu sistem enkripsi. Teringat istilah, tak ada gading yang tak retak, kesimpulannya, user harus senantiasa bijak. Senantiasa update segala macam informasi, sehingga tidak melewatkan informasi penting, apalagi hal ini berhubungan dengan keamanan data. Sekian post kali ini.

sumber referensi artikel, bisa dilihat disini, dan disini.