Microsoft je nedavno izdal varnostno opozorilo (ADV180028) opozorilo za uporabnike samošifriranih pogonov SSD Bitlocker šifrirni sistemi.
Ta varnostni nasvet je prišel po tem, ko sta dva nizozemska raziskovalca varnosti Carlo Meijer in Bernard van Gastel izdala osnutek dokumenta, v katerem sta opisala ranljivosti, ki sta jih odkrila. Tu je povzetek povzetek problema:
Analizirali smo strojno šifriranje celotnega diska več SSD-jev z obratnim načrtovanjem njihove vdelane programske opreme. Teoretično so varnostna jamstva, ki jih ponuja šifriranje strojne opreme, podobna ali boljša od izvedb programske opreme. V resnici smo ugotovili, da imajo številne izvedbe strojne opreme kritične varnostne pomanjkljivosti, saj mnogi modeli omogočajo popolno obnovitev podatkov brez poznavanja kakršne koli skrivnosti.
Če ste članek že videli, lahko preberete o vseh različnih ranljivostih. Osredotočil se bom na dva glavna.
Varnost šifriranja strojne opreme SSD
Microsoft je vedel, da pri SSD-jih obstaja težava. Torej bi v primeru samošifriranih SSD-jev Bitlocker dovolil
šifriranje ki jih SSD-ji uporabljajo za prevzem. Žal pri Microsoftu to ni rešilo težave. Več od Meijerja in van Gastala:BitLocker, programska oprema za šifriranje, vgrajena v Microsoft Windows, se bo opirala izključno na strojno šifriranje s celotnim diskom, če SSD oglašuje, da je zanjo podprta. Tako so za te pogone ogroženi tudi podatki, zaščiteni z BitLockerjem.
Ranljivost pomeni, da lahko vsak napadalec, ki lahko prebere uporabniški priročnik SED, dostopa do glavno geslo. Z dostopom do glavnega gesla lahko napadalci obidejo uporabniško ustvarjeno geslo in dostopajo do podatkov.
- POVEZANE: 4 najboljši šifrirani program za skupno rabo datotek za Windows 10
Odpravite ranljivosti glavnega gesla
V resnici se zdi, da je to ranljivost precej enostavno odpraviti. Najprej lahko uporabnik nastavi lastno glavno geslo, ki nadomesti tisto, ki ga ustvari prodajalec SED. To uporabniško ustvarjeno geslo nato ne bi bilo dostopno napadalcu.
Zdi se, da bi bila druga možnost nastavitev zmožnosti glavnega gesla na "maksimalno", s čimer bi glavno geslo popolnoma onemogočili.
Seveda varnostno svetovanje izhaja iz predpostavke, da povprečni uporabnik verjame, da bi bil SED varen pred napadalci, zakaj bi torej kdo storil katero koli od teh stvari.
Uporabniška gesla in ključi za šifriranje diska
Druga ranljivost je, da med uporabniškim geslom in ključem za šifriranje diska (DEK), ki se uporablja za šifriranje gesla, ni kriptografske vezave.
Z drugimi besedami, nekdo bi lahko pogledal znotraj čipa SED, da bi našel vrednosti DEK, in nato te vrednosti uporabil za krajo lokalnih podatkov. V tem primeru napadalec ne bi zahteval uporabniškega gesla za dostop do podatkov.
Obstajajo tudi druge ranljivosti, toda po vzoru skoraj vseh drugih vam dam samo povezavo do osnutek papirja, in o njih lahko preberete tam.
- POVEZANE: 6 največjih trdih diskov SSD za nakup v letu 2018
Vsi SSD-ji morda ne bodo prizadeti
Vendar bi rad opozoril na dve stvari. Prvič, Meijer in van Gastel sta preizkusila le del vseh SSD-jev. Opravite raziskavo vašega SSD-ja in preverite, ali ima morda težave. Tu so SSD-ji, ki sta jih preizkusila dva raziskovalca:
Napadalci potrebujejo lokalni dostop
Upoštevajte tudi, da potrebuje lokalni dostop do SSD-ja, saj morajo napadalci dostopati do vdelane programske opreme in manipulirati z njo. To pomeni, da so vaš SSD in podatki, ki jih hrani, teoretično varni.
Ob tem pa ne mislim, da bi bilo treba to situacijo obravnavati rahlo. Zadnjo besedo bom prepustil Meijerju in van Gastelu,
To [poročilo] izpodbija stališče, da je strojno šifriranje boljše kot šifriranje s programsko opremo. Sklepamo, da se ne smemo zanašati samo na šifriranje strojne opreme, ki jo ponujajo SSD-ji.
Resnično modre besede.
Ste odkrili neobjavljeni SSD, ki ima enako varnostno težavo? Sporočite nam v komentarjih spodaj.
POVEZANE OBJAVE ZA OGLAŠEVANJE:
- 5 protivirusnih programov z najvišjo stopnjo zaznavanja za odkrivanje skrivnostne zlonamerne programske opreme
- Šifriranje od konca do konca je zdaj na voljo uporabnikom Outlook.com
- 5+ najboljših varnostnih programov za kripto trgovanje za zaščito vaše denarnice
