Tech новости

Microsoft признает серьезную проблему безопасности шифрования SSD

проблемы безопасности шифрования SSD битлокера

Microsoft признает серьезную проблему безопасности шифрования SSD

Недавно Microsoft выпустила предупреждение безопасности ( ADV180028 ) для пользователей твердотельных накопителей (SSD) с самошифрованием, использующих системы шифрования Bitlocker .

Это уведомление о безопасности появилось после того, как два исследователя из Нидерландов, Карло Мейер и Бернард ван Гастел, опубликовали проект документа с описанием обнаруженных ими уязвимостей. Вот резюме, резюмирующее проблему :

Мы проанализировали аппаратное полное дисковое шифрование нескольких твердотельных накопителей путем обратного инжиниринга их прошивок. Теоретически, гарантии безопасности, предлагаемые аппаратным шифрованием, аналогичны или лучше, чем программные реализации. В действительности, мы обнаружили, что многие аппаратные реализации имеют критические недостатки безопасности, для многих моделей, позволяющих полностью восстановить данные без знания какого-либо секрета.

Если вы видели документ, вы можете прочитать обо всех различных уязвимостях. Я сосредоточусь на двух основных.

SSD Hardware Encryption Security

Microsoft знала, что есть проблема с твердотельными накопителями. Таким образом, в случае самошифрующихся твердотельных накопителей Bitlocker позволяет использовать шифрование, используемое твердотельными накопителями. К сожалению, для Microsoft это не решило проблему. Больше от Мейера и ван Гастеля:

BitLocker, программное обеспечение для шифрования, встроенное в Microsoft Windows, будет полагаться исключительно на аппаратное полнодисковое шифрование, если реклама SSD поддерживает его. Таким образом, для этих дисков данные, защищенные BitLocker, также подвергаются риску.

рекомендации по безопасности на SSD

Уязвимость означает, что любой злоумышленник, который может прочитать руководство пользователя SED, может получить доступ к главному паролю . Получив доступ к главному паролю, злоумышленники могут обойти сгенерированный пользователем пароль и получить доступ к данным.

Исправление уязвимостей мастер-пароля

На самом деле, эта уязвимость может быть легко исправлена. Во-первых, пользователь может установить собственный мастер-пароль, заменив пароль, сгенерированный поставщиком SED. Этот сгенерированный пользователем пароль не будет доступен злоумышленнику.

Другой вариант, по-видимому, заключается в том, чтобы установить возможность мастер-пароля на «максимум», тем самым вообще отключив мастер-пароль.

Конечно, рекомендация по безопасности исходит из предположения, что средний пользователь считает, что SED будет безопасен от злоумышленников, поэтому зачем кому-либо делать одну из этих вещей.

Пароли пользователей и ключи шифрования диска

Еще одна уязвимость заключается в том, что между паролем пользователя и ключом шифрования диска (DEK), используемым для шифрования пароля, отсутствует криптографическая привязка.

Другими словами, кто-то может заглянуть внутрь чипа SED, чтобы найти значения DEK, а затем использовать эти значения для кражи локальных данных. В этом случае злоумышленнику не потребуется пароль пользователя для доступа к данным.

Существуют и другие уязвимости, но, следуя указаниям практически всех остальных, я просто дам вам ссылку на черновик документа , и вы сможете прочитать о них все там.

Не все SSD могут быть затронуты

Однако я хотел бы отметить две вещи. Во-первых, Мейер и ван Гастел протестировали только часть всех твердотельных накопителей. Проведите исследование вашего SSD и посмотрите, может ли у него быть проблема. Вот SSD, которые исследовали два исследователя:

рекомендации по безопасности на SSD

Злоумышленникам нужен локальный доступ

Также обратите внимание, что для этого требуется локальный доступ к SSD, поскольку злоумышленникам необходимо получить доступ к микропрограммному обеспечению и манипулировать им. Это означает, что ваш SSD и данные, которые он содержит, теоретически безопасны.

Сказав это, я не имею в виду, что к этой ситуации следует относиться легко. Я оставлю последнее слово Мейеру и ван Гастелу,

Этот [отчет] ставит под сомнение мнение о том, что аппаратное шифрование предпочтительнее программного шифрования. Мы заключаем, что не следует полагаться исключительно на аппаратное шифрование, предлагаемое твердотельными накопителями.

Мудрые слова действительно.

Вы обнаружили незарегистрированный SSD с такой же проблемой безопасности? Дайте нам знать в комментариях ниже.

СВЯЗАННЫЕ ПОСТЫ, ЧТОБЫ ПРОВЕРИТЬ

Похожие посты
Tech новости

Про совет: Протрите порно с вашего телефона перед заменой его

Tech новости

Охранная фирма детализирует проблемы конфиденциальности; разработчик рассказывает нам свою сторону истории

Tech новости

Проект Android UI Utilities приносит унифицированные инструменты дизайна для разработчиков

Tech новости

Google утверждает, что популярные обои-приложения считаются безопасными