Когда ставится точка в истории очередной отжившей своё программы, то даже самую старую, самую вроде бы ненужную софтинку провожают со слезами — ибо всегда находятся люди, ценившие её. В тех же редких случаях, когда инструмент был популярен, проводы превращаются в манифестацию протеста. И именно это мы наблюдаем сейчас в случае с программой TrueCrypt.
При жизни она была загадкой. Выбор номер один для защиты от чужих глаз: стойкая до такой степени, что ломали зубы даже самые матёрые взломщики, работающая на всех платформах, переведённая на кучу языков, бесплатная, с открытыми исходниками — и непонятно кем разработанная! За все десять лет существования так и не удалось выяснить, кто стоит за TrueCrypt (следы ведут в Чехию, но там и теряются), и это сохраняло интригу: продукт такого качества вроде бы не под силу делать небольшой команде энтузиастов, так не замешаны ли здесь спецслужбы?
Со временем популярность её стала так велика, а сомнения настолько сильны, что были собраны деньги на независимый открытый профессиональный аудит исходников — и первый этап завершился в апреле вполне оптимистично: во вспомогательном коде явных чёрных ходов не найдено, на очереди анализ криптоалгоритмов.
И вот на этом благостном фоне разорвавшейся бомбой в минувший четверг — предупреждение на сайте проекта: пользование «Трукриптом» небезопасно, программа может содержать ошибки, разработка с мая прекращена! Пользователям предложено мигрировать на встроенные в операционные системы криптоинструменты вроде BitLocker в MS Windows.
Можно ли верить сообщению? Увы, да. Выложенная одновременно с ним последняя версия программы (7.2) заверена официальным криптоключом, так что вариант с чьей-то злой шуткой отпадает. Но в чём же причина? А причиной названо «окончание поддержки компанией Microsoft операционной системы Windows XP». Звучит чудовищно (если вспомнить про всегдашнюю кросс-платформенность TC). Но и вообще предложение променять TC на проприетарные решения а-ля BitLocker смотрится дико. Так что, конечно, начался поиск настоящей причины. Поскольку девелоперы молчат, процесс протекает стихийно, и к настоящему моменту оформились три основные версии произошедшего.
Версия номер один построена на подозрительном совпадении: как только нанятые публикой аудиторы взялись за анализ криптоалгоритмов TrueCrypt, его разработка и прекратилась. Уж не потому ли, что в программе в самого начала имелся скрытый бэкдор — признать существование которого сейчас значит гарантированно, навсегда скомпрометировать проект (представьте только то бесчисленное множество винчестеров, флешек, компакт-дисков, логических томов, которое было зашифровано с помощью TrueCrypt за это время — и, получается, было постоянно открыто для соглядатаев, а со дня на день, когда «дыру» найдут аудиторы, станет открыто и вообще для всех желающих!). Этого объяснения придерживается даже американский профессор Мэтью Грин — который и организовал сбор средств на проект IsTrueCryptAuditedYet.com.
Другая версия, также получившая широкое признание, сводится к мнению, что разработчики TrueCrypt чисты, но таким образом пытаются неявно предупредить, что на них вышли и принуждают к сотрудничеству спецслужбы. Выбора в этом случае у них действительно нет: признаться открыто они не могут (это, скорее всего, незаконно), а сделать вид, что ничего не случилось, не могут тем более. Такое неявное предупреждение время от времени практикуется (вспомните историю криптопочтового сервиса Lavabit), а особой убедительности этой версии придаёт известный факт: «Трукриптом» пользовался лично Эдвард Сноуден, а уж он-то — как оказалось, вовсе не простой админ, а профессиональный шпион — знал наверняка, какому софту доверять можно.
Наконец, последняя из популярных версий сводится банально к деньгам. Десять лет на чистом энтузиазме — приличный срок. Возможно, кто-то из разработчиков TrueCrypt выразил желание частично или полностью монетизировать проект, другие с ним не согласились, а результатом стал внутренний раздрай и окончание разработки.
Чему верить, выбирайте сами, но вопрос, что делать дальше, в равной мере справедлив, чью бы сторону вы ни заняли. Последняя версия, TrueCrypt 7.2, лишена возможности создания новых криптотомов (только чтение старых), но даже если вы отыщете предыдущую, 7.1a (есть архивы), доверие к ней по крайней мере до окончания аудита подорвано. Линуксоидам легче: они могут использовать встроенные истинно свободные решения (ключевые слова: eCryptfs, LUKS и др.). Пользователям Windows и OS X стоит предпочесть встроенным сторонние продукты (Брюс Шнайер рекомендует PGPDisk). Впрочем, с понятной оговоркой: предполагается, что вы доверяете компании — разработчику ОС или компании — разработчику криптоинструмента. Плохо то, что аналогичных TrueCrypt по удобству инструментов нет. А это приводит нас к необходимости форка.
Очень многие теперь считают, что TrueCrypt необходимо форкнуть. Так мы не только не дадим потеряться наработанному за десять лет пласту качественного кода, но и добьёмся того, что стоять за программой будут всем известные люди. Правда, трукриптовская лицензия не совсем свободна, а название программы является зарегистрированной торговой маркой. Так что люди, которые возьмутся писать форк, должны будут дать ему новое имя и осмелиться пойти наперекор воле анонимных создателей TrueCrypt, перевыпустив код под новой, вероятно, истинно свободной лицензией (а-ля GNU GPL). Однако обстоятельства экстраординарные, и энтузиастов ничто из этого, конечно, не остановит.
Закончится аудит (несмотря ни на что, он продолжается и должен завершиться в сентябре), появится (например) TruCrypt 1.0, и уж таким инструментом — свободным, проверенным, развиваемым людьми, чьи имена и заслуги мы знаем, — не пользоваться будет грех. Заготовка проекта, кстати, уже сделана: Truecrypt.ch — присоединяйтесь!