TrueCrypt

TrueCryptとは

TrueCryptは、暗号化された仮想ディスクを作成・利用するためのソフトウェアです。ファイルだけでなく、パーティション全体を暗号化することも可能です。ユーザーは、作成された仮想ディスクをリムーバブルディスクドライブのようにマウントして利用でき、Windows版ではシステムドライブ自体の暗号化もサポートしていました。このソフトウェアは、独自のTrueCrypt Licenseの下で無償で利用可能でした。

しかし、開発者から「安全ではない」とのメッセージが出され、使用を中止し、BitLockerなどの代替ソリューションへの移行が推奨されています。TrueCryptのソースコードを基にしたVeraCryptやCipherShedといったフリーウェアプロジェクトが、代替ソフトウェアとして存在します。

開発終了

2014年5月28日、TrueCryptの公式サイトが、HTTP 301リダイレクトによりsourceforge.orgへ転送されるようになりました。そこで、Windows XPのサポート終了に合わせて、TrueCryptの開発が終了したことが告知されました。新しいバージョンのWindowsではBitLockerが、LinuxやMac OS Xでは同様のシステムが標準搭載されているため、TrueCryptは不要と判断されたのです。暗号化されたデータはBitLockerに移行することが推奨されました。SourceForgeのプロジェクトページにも同様のメッセージが表示され、プロジェクトのステータスは「inactive」に変更されました。同時に、暗号化機能を削除し、復号機能のみを持つバージョン7.2がリリースされました。

開発終了の発表当初、その真偽が疑問視され、様々な憶測が飛び交いました。しかし、開発者の一人が「プロジェクトへの興味を失った」とメールで回答したことが明らかになりました。

仕様・機能

TrueCryptは、暗号化された仮想ディスク「TrueCryptボリューム」を作成する機能を持ちます。ボリュームのフォーマット形式は、WindowsではFATまたはNTFS、LinuxではFAT, ext2, ext3, ext4に対応しています。

利用可能な暗号化アルゴリズムは、AES, Serpent, Twofishの単独使用や、それらを組み合わせたカスケード方式（AES-Twofish, AES-Twofish-Serpentなど）の計8種類です。ハッシュアルゴリズムは、RIPEMD-160, SHA-512, Whirlpoolの3種類です。

TrueCryptボリュームは、GUIを通じてマウントして利用します。マウント時にはパスワード認証またはキーファイル認証が行われます。また、一つのボリュームの中に「外殻ボリューム」と「隠しボリューム」を作成することができ、パスワードによってどちらのボリュームをマウントするかを選択できます。これは、脅迫などによってボリュームの開示を強制された場合に、「隠しボリューム」を秘匿するための機能です。

Windows, Mac OS X, Linux版のTrueCryptで作成されたボリュームは相互に互換性があり、プラットフォームを跨いで利用できます。

情報の流出・盗難の予防

TrueCryptで作成された仮想ディスクは暗号化されているため、ディスクを格納した機器が流出しても、データを復号されない限り情報が漏洩する心配はありません。機密データをUSBメモリに入れて持ち歩く場合、TrueCryptボリュームとして保存すれば、紛失や盗難による情報流出のリスクを大幅に低減できます。

情報の流出・盗難を予防できない可能性

しかし、以下のような場合には情報流出の可能性があります。

脆弱なパスワード: パスワードが推測されやすく、キーファイルも同時に流出した場合、復号される可能性があります。対策として、推測困難な長いパスワードを設定し、キーファイルは別の場所に保存する必要があります。
不適切なアクセス制御: マウント時に適切なアクセス制御を設定していない場合、他のユーザーが仮想ディスクにアクセスできる可能性があります。Linuxでは、マウント状態のuid/gidが自身のものであること、umaskが077であることを確認します。
メモリ上のデータ: アプリケーションで利用する際、復号されたファイルデータがメモリ上やテンポラリファイル、スワップファイルに書き出される可能性があります。スワップファイルを使用しない設定にするか、アプリケーションのテンポラリファイル作成場所に注意する必要があります。

ライセンス

TrueCryptは、独自のTrueCrypt Licenseでリリースされています。このライセンスは、オープンソースライセンスではなく、配布や著作権に制限があるため、フリーソフトウェア財団にも認定されていません。

オープンソースの定義に適合するよう修正が試みられましたが、オープンソースソフトウェアであることが明確に示されない限り、受け入れられる見込みは少ないとされています。主要なLinuxディストリビューションには同梱されておらず、ソフトウェアの改変や他プロジェクトでの利用も不明確な点が残っています。

開発者は、ライセンスの変更やフォークを否定しており、新しいバージョンはスクラッチから作成すべきだと主張しています。

開発終了とライセンスバージョン3.1

開発終了発表と同時に、TrueCrypt Licenseから配布に関する条項が削除され、バージョン3.1となりました。

まとめ

TrueCryptは、強力な暗号化機能を持つ一方で、開発終了、ライセンス、セキュリティ上の問題も抱えていました。現在では、VeraCryptやCipherShedなどの代替ソフトウェアを利用することが推奨されます。セキュリティを確保するためには、適切なパスワード管理、アクセス制御、OS設定が重要です。

関連項目

ディスクの暗号化
暗号
Advanced Encryption Standard
LUKS
GnuPG
VeraCrypt
CipherShed
* データの完全消去

もう一度検索