TrueCrypt: вы не ждали, а он того!
Когда ставится точка в истории очередной отжившей своё программы, то даже самую старую, самую вроде бы ненужную софтинку провожают со слезами — ибо всегда находятся люди, ценившие её. В тех же редких случаях, когда инструмент был популярен, проводы превращаются в манифестацию протеста. И именно это мы наблюдаем сейчас в случае с программой TrueCrypt.
При жизни она была загадкой. Выбор номер один для защиты от чужих глаз: стойкая настолько, что ломали зубы даже самые матёрые взломщики, работающая на всех платформах, переведённая на кучу языков, бесплатная, с открытыми исходниками, и — непонятно кем разработанная! За все десять лет существования так и не удалось выяснить, кто стоит за TrueCrypt (следы ведут в Чехию, но там и теряются), и это сохраняло интригу: продукт такого качества вроде бы не под силу делать небольшой команде энтузиастов, так не замешаны ли здесь спецслужбы?
Со временем популярность её стала так велика, а сомнения настолько сильны, что были собраны деньги на независимый открытый профессиональный аудит исходников — и первый этап завершился в апреле вполне оптимистично: во вспомогательном коде явных чёрных ходов не найдено, на очереди анализ криптоалгоритмов.
И вот на этом благостном фоне разорвавшейся бомбой в минувший четверг — на сайте проекта: пользование «Трукриптом» не безопасно, программа может содержать ошибки, разработка с мая прекращена! Пользователям предложено мигрировать на встроенные в операционные системы криптоинструменты, вроде BitLocker в MS Windows.
Можно ли верить сообщению? Увы, да. Выложенная одновременно с ним последняя версия программы (7.2) заверена официальным криптоключом, так что вариант с чьей-то злой шуткой отпадает. Но в чём же причина? А причиной названо «окончание поддержки компанией Microsoft операционной системы Windows XP». Звучит чудовищно (если вспомнить про всегдашнюю кроссплатформенность TC). Но и вообще предложение променять TC на проприетарные решения а-ля BitLocker смотрится дико. Так что, конечно, начался поиск настоящей причины. Поскольку девелоперы молчат, процесс протекает стихийно, и к настоящему моменту оформились три основные версии произошедшего.
Версия номер один построена на подозрительном совпадении: как только нанятые публикой аудиторы взялись за анализ криптоалгоритмов TrueCrypt, его разработка и прекратилась. Уж не потому ли, что в программе в самого начала имелся скрытый бекдор — признать существование которого сейчас значит гарантированно, навсегда скомпрометировать проект (представьте только то бесчисленное множество винчестеров, флэшек, компакт-дисков, логических томов, которое было зашифровано с помощью TrueCrypt за это время — и, получается, всё время было открыто для соглядатаев, а со дня на день, когда «дыру» найдут аудиторы, станет открыто и вообще для всех желающих!). Этой версии придерживается даже американский профессор Мэтью Грин — который и организовал сбор средств на проект .
Другая версия, также получившая широкое признание, сводится к мнению, что разработчики TrueCrypt чисты, но таким образом пытаются неявно предупредить, что на них вышли и принуждают к сотрудничеству спецслужбы. Выбора в этом случае у них действительно нет: признаться открыто они не могут (это, скорее всего, незаконно), а сделать вид, что ничего не случилось, не могут тем более. Такое неявное предупреждение время от времени практикуется (вспомните историю криптопочтового сервиса Lavabit), а особой убедительности этой версии придаёт известный факт: «Трукриптом» пользовался лично Эдвард Сноуден, а уж он-то — как оказалось, вовсе не простой админ, а профессиональный шпион — знал наверняка, какому софту доверять можно.
Наконец, последняя из популярных версий сводится банально к деньгам. Десять лет на чистом энтузиазме — приличный срок. Возможно, кто-то из разработчиков TrueCrypt выразил желание частично или полностью монетизировать проект, другие с ним не согласились, а результатом стал внутренний раздрай и окончание разработки.
Чему верить выбирайте сами, но вопрос что делать дальше в равной мере справедлив, чью бы сторону вы ни заняли. Последняя версия, TrueCrypt 7.2, лишена возможности создания новых криптотомов (только чтение старых), но даже если вы отыщете предыдущую 7.1a (), доверие к ней по крайней мере до окончания аудита подорвано. Линуксоидам легче: они могут использовать встроенные истинно свободные решения (ключевые слова: eCryptfs, и др.). Пользователям Windows и OS X стоит предпочесть встроенным сторонние продукты (Брюс Шнайер рекомендует PGPDisk). Впрочем, с понятной оговоркой: предполагается, что вы доверяете компании-разработчику ОС или компании-разработчику криптоинструмента. Плохо то, что аналогичных TrueCrypt по удобству инструментов нет. А это приводит нас к необходимости форка.
Очень многие теперь считают, что TrueCrypt необходимо форкнуть. Так мы не только не дадим потеряться наработанному за десять лет пласту качественного кода, но и добьёмся, что стоять за программой будут всем известные люди. Правда, трукриптовская лицензия не совсем свободна, а название программы является зарегистрированной торговой маркой. Так что люди, которые возьмутся писать форк, должны будут дать ему новое имя и осмелиться пойти наперекор воле анонимных создателей TrueCrypt, перевыпустив код под новой, вероятно, истинно свободной лицензией (а-ля GNU GPL). Однако обстоятельства экстраординарные и энтузиастов ничто из этого, конечно, не остановит.
Закончится аудит (несмотря ни на что, он продолжается и должен завершиться в сентябре), появится (например) TruCrypt 1.0, и уж таким инструментом — свободным, проверенным, развиваемым людьми, чьи имена и заслуги мы знаем — не пользоваться будет грех. Заготовка проекта, кстати, уже сделана: — присоединяйтесь!
