기타 Lobsters · 14시간 전

개발자 잠적했던 유명 암호화 툴 '트루크립트', 코드 감사해보니 백도어 없었다

핵심 요약

외부 보안 감사 결과 트루크립트(Truecrypt)에서 의도적인 백도어나 심각한 설계 결함은 발견되지 않았습니다.
윈도우 난수 생성기(RNG)와 캐시 타이밍 공격 관련 취약점 등 몇 가지 프로그래밍상 미흡한 점은 지적되었습니다.
개발자가 개발을 중단하고 사라진 소프트웨어이지만, 베라크립트 등 후속 포크 프로젝트들이 믿고 활용할 수 있는 안전한 기반임이 입증되었습니다.

요약 유명 암호화 소프트웨어 '트루크립트(Truecrypt)'에 대한 외부 보안 감사 결과가 공개되었습니다. 암호학 전문가 매튜 그린(Matthew Green) 교수가 전한 내용에 따르면, NCC 크립토 서비스 그룹과 OCAP(Open Crypto Audit Project) 주도로 진행된 이번 감사에서 트루크립트 내부에 의도적인 백도어나 대다수 사용 환경을 위험에 빠뜨릴 치명적인 설계 결함은 발견되지 않았습니다. 즉, 전체적으로 비교적 훌륭하게 설계된 보안 소프트웨어라는 평가입니다. 하지만 완벽한 것은 아니었으며 몇 가지 주의 깊지 못한 프로그래밍 오류가 지적되었습니다. 가장 주요한 문제는 윈도우 버전의 난수 생성기(RNG)와 관련된 부분입니다. 트루크립트는 볼륨을 암호화하는 키를 생성하기 위해 엔트로피 풀 방식을 사용하는데, 극히 드문 상황에서 윈도우 크립토 API(Crypto API)의 초기화가 실패할 경우 오류를 뿜으며 중단되는 대신 이를 무시하고 키 생성을 강행하도록 작성되어 있었습니다. 마우스 움직임 등 대안 엔트로피 소스가 있어 당장 파국적인 취약점으로 이어질 확률은 극히 낮지만, 나쁜 설계임은 분명하여 추후 포크 버전들에서 반드시 수정되어야 할 부분으로 꼽혔습니다. 이외에도 캐시 타이밍 공격에 대한 취약점 등이 함께 보고되었습니다. 개발진이 갑작스럽게 프로젝트를 중단하면서 많은 이용자들에게 불안과 아쉬움을 남겼던 트루크립트이지만, 이번 감사를 통해 소프트웨어의 근본적인 뼈대가 안전하다는 점이 확인되면서 베라크립트(VeraCrypt) 등 이를 기반으로 개발을 이어가는 후속 프로젝트들에게 중요한 신뢰의 발판이 마련되었습니다.

해외 반응 번역

하지만 트루크립트는 이제 중단됐고 비슷하지만 호환은 안 되는 베라크립트(VeraCrypt)로 대체된 것 아닌가요?

트루크립트 개발자들이 소프트웨어를 버리고 코드를 공개해 둬서 다른 사람들이 포크할 수 있게 됐죠. 베라크립트가 트루크립트의 포크 버전이긴 하지만 유일한 대체재는 아닙니다. 누구나 코드를 가져와 자체 버전을 만들 수 있어요. 이번 감사의 핵심은 향후 포크 버전에서 몇 가지를 고쳐야 하지만 기반 자체는 훌륭하다는 점입니다. 트루크립트 기반 소프트웨어를 만들어도 파일에 뒷문을 열어주는 일은 없다는 거죠.

감사가 드디어 끝나서 정말 기쁘네요. 개발자들의 예상치 못한 이탈 이후에도 힘써주신 분들의 노고에 정말 감사드립니다. 더 이상 업데이트되지 않는 건 아쉽지만, 더 나은 암호화 툴을 만들 수 있는 토대를 남겨줘서 다행입니다!