Microsoft ახლახანს გამოსცა უსაფრთხოების მრჩეველი (ADV180028) გაფრთხილება თვითდაშიფრული მყარი დრაივების (SSD) მომხმარებლებისთვის ბიტლოკერი დაშიფვრის სისტემები.
უსაფრთხოების ეს კონსულტაცია მას შემდეგ შედგა, რაც ნიდერლანდებიდან უსაფრთხოების ორმა მკვლევარმა, კარლო მეიჯერმა და ბერნარდ ვან გასტელმა გამოაქვეყნეს დოკუმენტის პროექტი, რომელშიც აღწერილი იქნა მათი აღმოჩენილი სისუსტეები. აქ მოცემულია რეფერატი პრობლემის შეჯამება:
ჩვენ გავაანალიზეთ აპარატურის სრული დისკის დაშიფვრა რამდენიმე SSD დისკის საწინააღმდეგო ინჟინერიით მათი firmware- ით. თეორიულად, ტექნიკის დაშიფვრის მიერ შემოთავაზებული უსაფრთხოების გარანტიები მსგავსია ან უკეთესია, ვიდრე პროგრამული უზრუნველყოფის განხორციელება. სინამდვილეში, ჩვენ აღმოვაჩინეთ, რომ ტექნიკის ბევრ დანერგვას აქვს უსაფრთხოების კრიტიკული სისუსტეები, მრავალი მოდელისთვის მონაცემთა სრული აღდგენა საშუალებას იძლევა საიდუმლოების ცოდნის გარეშე.
თუ ნაშრომი გინახავთ, შეგიძლიათ წაიკითხოთ ყველა სხვადასხვა მოწყვლადობის შესახებ. კონცენტრირებული ვიქნები ორ მთავარზე.
SSD აპარატურის დაშიფვრის უსაფრთხოება
მაიკროსოფტმა იცოდა, რომ SSD– ების პრობლემა იყო. ასე რომ, თვითდაშიფრული SSD– ების შემთხვევაში, Bitlocker საშუალებას მისცემს დაშიფვრა გამოიყენება SSD- ების მიერ აღების მიზნით. სამწუხაროდ, Microsoft- ისთვის ამან პრობლემა ვერ გადაჭრა. მეტი მეიჯერისა და ვან გასტელისგან:
BitLocker, Microsoft Windows- ში ჩაშენებული დაშიფვრის პროგრამული უზრუნველყოფა დაეყრდნობა მხოლოდ აპარატურის სრულ დისკზე დაშიფვრას, თუ SSD რეკლამირება უზრუნველყოფს მას. ამრიგად, ამ დისკებისთვის, BitLocker– ით დაცული მონაცემები ასევე კომპრომეტირებულია.
დაუცველობა ნიშნავს, რომ ნებისმიერ თავდამსხმელს, რომელსაც შეუძლია SED– ების მომხმარებლის სახელმძღვანელოს წაკითხვა, შეძლოს წვდომა ძირითადი პაროლი. მთავარ პაროლზე წვდომის საშუალებით, თავდამსხმელებს შეუძლიათ გვერდის ავლით შექმნან მომხმარებლის მიერ შექმნილი პაროლი და მიიღონ მონაცემები.
- დაკავშირებული: დაინსტალირებული ფაილების გაზიარების 4 საუკეთესო პროგრამა Windows 10-ისთვის
შეასწორეთ ძირითადი პაროლის სისუსტეები
სინამდვილეში, ამ მოწყვლადობის გამოსწორება, როგორც ჩანს, საკმაოდ ადვილია. პირველ რიგში, მომხმარებელს შეუძლია დაადგინოს საკუთარი მთავარი პაროლი, შეცვლის SED გამყიდველის მიერ გენერირებულს. ამ მომხმარებლის მიერ შექმნილი პაროლი თავდამსხმელისთვის მიუწვდომელი იქნება.
სხვა ვარიანტი უნდა იყოს Master პაროლის შესაძლებლობის დაყენება "მაქსიმუმზე", ამრიგად, ძირითადი პაროლის გაუქმება.
რა თქმა უნდა, უსაფრთხოების საკითხებში ვარაუდი დგება იმის შესახებ, რომ საშუალო მომხმარებელი თვლის, რომ SED დაცული იქნება თავდამსხმელებისგან, რატომ უნდა გააკეთოს ვინმე რომელიმე მათგანს.
მომხმარებლის პაროლები და დისკის დაშიფვრის კლავიშები
კიდევ ერთი მოწყვლადობა არის ის, რომ არ არსებობს კრიპტოგრაფიული კავშირი მომხმარებლის პაროლსა და დისკის დაშიფვრის გასაღებს (DEK) შორის, რომელიც გამოიყენება პაროლის დასაშიფრად.
სხვა სიტყვებით რომ ვთქვათ, ვინმეს შეეძლო დაეხედა SED ჩიპში DEK– ის მნიშვნელობების დასადგენად და შემდეგ ამ მნიშვნელობებით ადგილობრივი მონაცემების მოსაპარად. ამ შემთხვევაში, თავდამსხმელს არ დასჭირდება მომხმარებლის პაროლი მონაცემებზე წვდომისთვის.
სხვა სისუსტეებიც არსებობს, მაგრამ თითქმის ყველა სხვას მივყავარ, მე მხოლოდ ბმულს მოგაწვდით პროექტიდა ყველას შესახებ შეგიძლიათ წაიკითხოთ იქ.
- დაკავშირებული: 2018 წელს 6 უდიდესი SSD მყარი დისკის შეძენა
ყველა SSD- ზე არ შეიძლება დაზარალდეს
ამასთან, ორ რამეზე მინდა აღვნიშნო. პირველ რიგში, მაიჯერმა და ვან გასტელმა მხოლოდ SSD– ების ნაწილი დაატესტეს. გააკეთეთ თქვენი SSD– ის კვლევა და ნახეთ, შეიძლება მას პრობლემა ჰქონდეს. აქ მოცემულია SSD– ები, რომლებმაც ორმა მკვლევარმა გამოსცადა:
თავდამსხმელებს ადგილობრივი წვდომა სჭირდებათ
ასევე გაითვალისწინეთ, რომ ამას სჭირდება ადგილობრივი წვდომა SSD– ზე, რადგან თავდამსხმელებმა საჭიროა firmware– ზე წვდომა და მანიპულირება. ეს ნიშნავს, რომ თქვენი SSD და მონაცემები, რომელსაც ფლობს, თეორიულად უსაფრთხოა.
ამის შემდეგ, მე არ ვგულისხმობ იმას, რომ ამ სიტუაციას მსუბუქად უნდა მოეკიდოს. მე უკანასკნელ სიტყვას დავუტოვებ მეიერსა და ვან გასტელს,
ეს [ანგარიში] ეჭვქვეშ აყენებს მოსაზრებას, რომ ტექნიკის დაშიფვრა სასურველია პროგრამული დაშიფვრაზე. დავასკვნათ, რომ არ უნდა დაეყრდნოთ მხოლოდ SSD- ების მიერ შემოთავაზებულ აპარატურის დაშიფვრას.
მართლაც ბრძნული სიტყვებია.
აღმოაჩინეთ გამოუქვეყნებელი SSD, რომელსაც უსაფრთხოების იგივე პრობლემა აქვს? შეგვატყობინეთ ქვემოთ მოცემულ კომენტარებში.
დაკავშირებული პოზიციების შემოწმების მიზნით:
- 5 ანტივირუსი, გამოვლენის ყველაზე მაღალი სიჩქარით, რომ მოახდინოს დამალული მავნე პროგრამა
- ბოლოს და ბოლოს დაშიფვრა უკვე ხელმისაწვდომია Outlook.com– ის მომხმარებლებისთვის
- თქვენი საფულის დასაცავად 5+ საუკეთესო უსაფრთხოების პროგრამა კრიპტო-ვაჭრობისთვის
