Microsoft pubblica un avviso di sicurezza sulla crittografia hardware SSD

Microsoft ha recentemente emesso un avviso di sicurezza (ADV180028) avviso per gli utenti di unità a stato solido (SSD) con crittografia automatica che utilizzano Bitlocker sistemi di crittografia.

Questo avviso di sicurezza è arrivato dopo che due ricercatori di sicurezza dei Paesi Bassi, Carlo Meijer e Bernard van Gastel, hanno pubblicato una bozza di documento che delinea le vulnerabilità scoperte. Ecco l'estratto riassumendo il problema:

Abbiamo analizzato la crittografia hardware dell'intero disco di diversi SSD effettuando il reverse engineering del loro firmware. In teoria, le garanzie di sicurezza offerte dalla crittografia hardware sono simili o migliori delle implementazioni software. In realtà, abbiamo scoperto che molte implementazioni hardware presentano punti deboli critici di sicurezza, per molti modelli che consentono il ripristino completo dei dati senza la conoscenza di alcun segreto.

Se hai visto il documento, puoi leggere tutte le diverse vulnerabilità. Mi concentrerò sui due principali.

Sicurezza di crittografia hardware SSD

Microsoft sapeva che c'era un problema con gli SSD. Quindi, nei casi di SSD autocrittografati, Bitlocker consentirebbe il crittografia utilizzato dagli SSD per prendere il sopravvento. Sfortunatamente, per Microsoft, questo non ha risolto il problema. Altro da Meijer e van Gastel:

BitLocker, il software di crittografia integrato in Microsoft Windows, si baserà esclusivamente sulla crittografia hardware dell'intero disco se l'SSD pubblicizza come supportato. Pertanto, per queste unità, anche i dati protetti da BitLocker sono compromessi.

La vulnerabilità significa che qualsiasi utente malintenzionato in grado di leggere il manuale utente del SED, può accedere al password principale. Ottenendo l'accesso alla password principale, gli aggressori possono ignorare la password generata dall'utente e accedere ai dati.

• RELAZIONATO: I 4 migliori software di condivisione file crittografati per Windows 10

Risolvi le vulnerabilità della password principale

In realtà, questa vulnerabilità sembrerebbe abbastanza facile da risolvere. In primo luogo, l'utente può impostare la propria password principale, che sostituisce quella generata dal fornitore del SED. Questa password generata dall'utente non sarebbe quindi accessibile a un utente malintenzionato.

L'altra opzione sembrerebbe quella di impostare la capacità della password principale su "massimo", disabilitando così del tutto la password principale.

Naturalmente, l'avviso di sicurezza deriva dal presupposto che l'utente medio crede che un SED sarebbe al sicuro dagli aggressori, quindi perché qualcuno dovrebbe fare una di queste cose.

Password utente e chiavi di crittografia del disco

Un'altra vulnerabilità è che non esiste alcun legame crittografico tra la password dell'utente e la chiave di crittografia del disco (DEK) utilizzata per crittografare la password.

In altre parole, qualcuno potrebbe guardare all'interno del chip SED per trovare i valori del DEK e quindi utilizzare quei valori per rubare i dati locali. In questo caso, l'attaccante non richiederebbe la password dell'utente per accedere ai dati.

Ci sono altre vulnerabilità, ma seguendo l'esempio di quasi tutti gli altri, ti darò solo il link al bozza di carta, e puoi leggere su di loro tutti lì.

• RELAZIONATO: 6 dei più grandi dischi rigidi SSD da acquistare nel 2018

Non tutti gli SSD potrebbero essere interessati

Tuttavia, vorrei sottolineare due cose. In primo luogo, Meijer e van Gastel hanno testato solo una frazione di tutti gli SSD. Fai la ricerca del tuo SSD e vedi se potrebbe avere un problema. Ecco gli SSD che i due ricercatori hanno testato:

Gli aggressori hanno bisogno dell'accesso locale

Si noti inoltre che è necessario l'accesso locale all'SSD poiché gli aggressori devono accedere e manipolare il firmware. Ciò significa che il tuo SSD e i dati che contiene sono, in teoria, al sicuro.

Detto questo, non voglio dire che questa situazione debba essere trattata alla leggera. Lascerò l'ultima parola a Meijer e van Gastel,

Questo [rapporto] sfida l'opinione secondo cui la crittografia hardware è preferibile rispetto alla crittografia software. Concludiamo che non si dovrebbe fare affidamento esclusivamente sulla crittografia hardware offerta dagli SSD.

Parole sagge davvero.

Hai scoperto un SSD non in elenco che ha lo stesso problema di sicurezza? Fateci sapere nei commenti qui sotto.

POST CORRELATI DA VERIFICARE:

• 5 antivirus con il più alto tasso di rilevamento per catturare malware subdolo
• La crittografia end-to-end è ora disponibile per gli utenti di Outlook.com
• 5+ migliori software di sicurezza per il trading di criptovalute per proteggere il tuo portafoglio