Een systeembeheerder die geheimen van het Amerikaanse leger wist te stelen kon ondanks het gebruik van het populaire encryptieprogramma TrueCrypt toch worden gepakt. De man werd vorige week veroordeeld tot een gevangenisstraf van 10 jaar. Via de SunSentinel is er nu meer informatie over de zaak naar buitengekomen.

De Amerikaan was als systeembeheerder op een luchtmachtbasis in Honduras gedetacheerd. Vanaf deze locatie benaderde de man zonder toestemming het geclassificeerde netwerk van het ministerie van Defensie. Daar verwijderde hij vertrouwelijke informatie, waaronder inlichtingenrapporten en militaire plannen. Voordat de bestanden werden verwijderd kopieerde hij die naar zijn NAS-systeem dat thuis stond. Om zijn sporen te wissen verwijderde hij onder andere loggegevens.

TrueCrypt

De informatie die de systeembeheerder buitmaakte kopieerde hij drie keer en bleef twee jaar lang verborgen, aldus de officier van justitie. Voor de beveiliging van zijn eigen systeem gebruikte de man TrueCrypt. Hij had het encryptieprogramma zo ingesteld dat er een hidden volume was aangemaakt. In dit geval zijn er twee volumes met elk een apart besturingssysteem, die via verschillende wachtwoorden zijn te benaderen. Zodoende kan een TrueCrypt-gebruiker het wachtwoord van het ene volume afstaan, waardoor het besturingssysteem zonder belangrijke data wordt geladen. De data op het hidden volume blijven zo verborgen.

Dit hidden volume had de systeembeheerder met een wachtwoord van 30 karakters beveiligd, zo liet een inlichtingenexpert van het leger tegenover de rechter weten. In 2011 had de systeembeheerder nog een e-mail naar een vriend gestuurd, waarin stond dat de FBI TrueCrypt niet kon kraken. Volgens de inlichtingenexpert was de FBI er in dit geval wel in geslaagd om het wachtwoord te kraken. Hoe de opsporingsdienst dit voor elkaar heeft gekregen is onbekend. Een bekende aanval op TrueCrypt is de EvilMaid-aanval. In dit geval kan een aanvaller met fysieke toegang tot het versleutelde systeem een keylogger installeren die het ingevoerde TrueCrypt-wachtwoord opslaat.

Een andere mogelijkheid is dat de systeembeheerder zijn wachtwoord heeft verteld. Begin januari van dit jaar sloot de systeembeheerder een "plea agreement" met het ministerie van Justitie. Databreaches.net heeft deze overeenkomst online gezet (pdf) maar informatie over het al dan niet kraken van het TrueCrypt-wachtwoord staat hier niet in vermeld.