V PGP 8.x, 9.x a TrueCrypte bola objavená bezpečnostná chyba umožňujúca rozšifrovanie šifrovaného disku bez znalosti hesla. PGP corporation neodpovedalo na otázku, či sa jedná o chybu alebo vlastnosť (feature), u TrueCryptu má ísť o dokumentovanú vlastnosť.
Trik spočíva v tom, že heslo (passphrase) nie je použité na zašifrovanie šifrovacieho kľúča, ale zadané heslo sa zhashuje a porovná s uloženým zahashovaným heslom:
if (hash(passphrase) equals stored_passphrase_hashed) then access_granted();
Je teda možné zistiť šifrovací kľúč bez znalosti hesla, použitím hex editoru alebo preskočiť autentizáciu debuggerom: program sa zastaví, zmení sa mu CS:EIP, aby pokračoval až po „úspešnom“ overení. Podrobnosti viz stránky safehack.com, okrem popisu funkcií je možné si pozrieť aj flashové video, ako to funguje.
Existujú „konšpiračné teórie“, že za tým stojí sama NSA/CIA/FBI/atď. „Pamätníci“ si určite spomenú, ako bol Phil Zimmermann, pôvodný tvorca PGP, v 90-tych rokoch prenasledovaný, ako sa tlačili tričká s trojriadkovou implementáciou RSA v PERLe. Zrazu „po problémoch zľahla zem“. Podozrivé? Ďalšie možnosti sú:
- ide o hoax. IMHO málo pravdepodobné.
- bol tam lenivý programátor, alebo nastrčený programátor od určitej verzie zaviedol backdoor
- NAI, pôvodná firma starajúca sa o PGP, už sa o PGP nestará, PGP bolo kúpené inou firmou. Viz www.pgpi.org – „2002/03/08 – NAI drops PGP Desktop, 2001/10/15 – NAI to sell PGP division“
- je to úplne inak ;-)
Priznám sa, že som neskúšal, či tá chyba naozaj existuje, pretože nepoužívam žiadny zo spomenutých softwarov. Ak používate niektorý zo spomenutých software a mali by ste chvíľu čas, skúste to overiť. Správa je už staršieho dátumu (pár mesiacov dozadu), ale príliš sa o nej nehovorí. Zvláštne je, že na pgpi.org je na stiahnutie len verzia do 8.0, aj to len pre Win XP, vyššie verzie má na starosti PGP corporation.
