Microsoft gibt Sicherheitsempfehlung zur SSD-Hardwareverschlüsselung heraus

Microsoft hat kürzlich eine Sicherheitsempfehlung (ADV180028) Warnung für Benutzer von selbstverschlüsselten Solid State Drives (SSDs) mit Bitlocker Verschlüsselungssysteme.

Diese Sicherheitsempfehlung kam, nachdem zwei Sicherheitsforscher aus den Niederlanden, Carlo Meijer und Bernard van Gastel, einen Entwurf für die von ihnen entdeckten Schwachstellen herausgegeben hatten. Hier ist die Zusammenfassung das Problem zusammenfassen:

Wir haben die Hardware-Full-Disk-Verschlüsselung mehrerer SSDs durch Reverse Engineering ihrer Firmware analysiert. Theoretisch sind die Sicherheitsgarantien der Hardwareverschlüsselung ähnlich oder besser als die von Softwareimplementierungen. Tatsächlich haben wir festgestellt, dass viele Hardwareimplementierungen kritische Sicherheitslücken aufweisen, da viele Modelle eine vollständige Wiederherstellung der Daten ohne Kenntnis eines Geheimnisses ermöglichen.

Wenn Sie das Papier gesehen haben, können Sie sich über die verschiedenen Schwachstellen informieren. Ich werde mich auf die beiden wichtigsten konzentrieren.

Sicherheit der SSD-Hardwareverschlüsselung

Microsoft wusste, dass es ein Problem mit SSDs gab. Im Falle von selbstverschlüsselten SSDs würde Bitlocker also die allow Verschlüsselung von den SSDs verwendet, um zu übernehmen. Leider hat dies für Microsoft das Problem nicht gelöst. Mehr von Meijer und van Gastel:

BitLocker, die in Microsoft Windows integrierte Verschlüsselungssoftware, verlässt sich ausschließlich auf die Hardware-Vollplattenverschlüsselung, wenn die SSD dafür wirbt. Daher sind bei diesen Laufwerken auch durch BitLocker geschützte Daten kompromittiert.

Die Schwachstelle bedeutet, dass jeder Angreifer, der das Benutzerhandbuch des SEDs lesen kann, auf die Master Passwort. Durch den Zugriff auf das Master-Passwort können Angreifer das benutzergenerierte Passwort umgehen und auf die Daten zugreifen.

• VERBUNDEN: 4 beste verschlüsselte Dateifreigabesoftware für Windows 10

Beheben Sie die Schwachstellen des Master-Passworts

In Wirklichkeit scheint diese Schwachstelle recht einfach zu beheben zu sein. Erstens kann der Benutzer sein eigenes Master-Passwort festlegen, das das vom SED-Anbieter generierte ersetzt. Dieses benutzergenerierte Passwort wäre dann für einen Angreifer nicht zugänglich.

Die andere Option scheint darin zu bestehen, die Master-Passwortfähigkeit auf „Maximum“ zu setzen, wodurch das Master-Passwort vollständig deaktiviert wird.

Natürlich basiert die Sicherheitsempfehlung auf der Annahme, dass der durchschnittliche Benutzer glaubt, dass ein SED vor Angreifern sicher ist, warum also sollte jemand eines dieser Dinge tun.

Benutzerpasswörter und Disk-Verschlüsselungsschlüssel

Eine weitere Schwachstelle besteht darin, dass keine kryptografische Bindung zwischen dem Benutzerkennwort und dem Datenträgerverschlüsselungsschlüssel (DEK) besteht, der zum Verschlüsseln des Kennworts verwendet wird.

Mit anderen Worten, jemand könnte in den SED-Chip schauen, um die Werte des DEK zu finden und dann diese Werte verwenden, um die lokalen Daten zu stehlen. In diesem Fall benötigt der Angreifer das Benutzerkennwort nicht, um Zugriff auf die Daten zu erhalten.

Es gibt noch andere Sicherheitslücken, aber ich folge dem Beispiel aller anderen und gebe Ihnen nur den Link zu den Entwurf; Schmierpapier, und Sie können sie alle dort lesen.

• VERBUNDEN: 6 der größten SSD-Festplatten, die 2018 zu kaufen waren

Möglicherweise sind nicht alle SSDs betroffen

Ich möchte jedoch auf zwei Dinge hinweisen. Erstens haben Meijer und van Gastel nur einen Bruchteil aller SSDs getestet. Recherchieren Sie Ihre SSD und sehen Sie, ob möglicherweise ein Problem vorliegt. Hier sind die SSDs, die die beiden Forscher getestet haben:

Angreifer benötigen lokalen Zugriff

Beachten Sie auch, dass dies einen lokalen Zugriff auf die SSD erfordert, da Angreifer auf die Firmware zugreifen und diese manipulieren müssen. Das bedeutet, dass Ihre SSD und die darauf gespeicherten Daten theoretisch sicher sind.

Trotzdem meine ich nicht, dass diese Situation auf die leichte Schulter genommen werden sollte. Das letzte Wort überlasse ich Meijer und van Gastel,

Dieser [Bericht] stellt die Ansicht in Frage, dass Hardwareverschlüsselung gegenüber Softwareverschlüsselung vorzuziehen ist. Wir schließen daraus, dass man sich nicht allein auf die Hardwareverschlüsselung von SSDs verlassen sollte.

Wahre weise Worte.

Haben Sie eine nicht aufgeführte SSD entdeckt, die das gleiche Sicherheitsproblem aufweist? Lass es uns in den Kommentaren unten wissen.

VERWANDTE POSTS, DIE SIE CHECKEN:

• 5 Antivirus mit höchster Erkennungsrate, um hinterhältige Malware zu schnappen
• End-to-End-Verschlüsselung ist jetzt für Outlook.com-Benutzer verfügbar
• 5+ beste Sicherheitssoftware für den Krypto-Handel, um Ihre Brieftasche zu schützen