Gecertificeerde versleutelde USB-sticks gekraakt
Eind vorig jaar riep geheugenfabrikant Kingston verschillende versleutelde USB-sticks terug omdat aanvallers eenvoudig toegang tot de gegevens konden krijgen, nu blijkt ook dat de datadragers van SanDisk en Verbatim kwetsbaar zijn. En dat is opmerkelijk, want de USB-sticks van alle drie de fabrikanten zijn FIPS 140-2 Level 2 gecertificeerd. Het Duitse beveiligingsbedrijf SySS ontdekte dat het vrij eenvoudig is om zonder het juiste wachtwoord toch toegang tot de gegevens te krijgen.
De USB-sticks in kwestie gebruiken AES 256-bit encryptie voor het hardware-matig versleutelen van de gegevens. Aangezien AES nog niet te kraken is, keken de onderzoekers naar het wachtwoord-mechanisme. Het gebruikte Windows programma zal tijdens een succesvolle autorisatie procedure, ongeacht het ingevoerde wachtwoord, altijd dezelfde string met karakters naar de schijf sturen. Het kraken van de wachtwoordbeveiliging is dan ook vrij eenvoudig. De onderzoekers schreven een klein programma dat ervoor zorgt dat de schijf altijd de juiste string met karakters ontvangt, ook al voert men een verkeerd wachtwoord in. Dit geeft toegang tot de aanwezige data. Het gaat onder andere om de Kingston DataTraveler BlackBox, SanDisk Cruzer Enterprise FIPS Edition en Verbatim Corporate Secure FIPS Edition.
Certificering
De fabrikanten reageerden elk anders op het probleem. Kingston riep de getroffen USB-sticks terug, terwijl SanDisk en Verbatim een waarschuwing over een "potentieel beveiligingslek in de access control applicatie" online plaatsten. Gebruikers konden een software update downloaden om het probleem op te lossen. Volgens Verbatim zijn de kwetsbare USB-sticks niet in Europa verkocht. De echte vraag blijft hoe een gecertificeerde USB-stick zo eenvoudig te kraken is. "En nog belangrijker, wat is de waarde van een certificering die zulke lekken mist?", aldus het Duitse Heise.
idd, "nogal" :x
Lang leve Ironkey met hun FIPS 140-2 Level 3 zeker :)
idd, "nogal" :x
Lang leve Ironkey met hun FIPS 140-2 Level 3 zeker :)
Amen! Inderdaad, nogal shockerend om hier af en toe te lezen dat alweer x-aantal duizenden patiëntendossiers, en andere confidentiële zaken "zomaar verloren gaan".
Er is dus een grote fail in de software.
Sectrust & Setji.ams.osd/Crew.
Ik kan er echt niet bij dat mensen nog steeds gesloten ongereviewde software voor security doeleinden durven te gebruiken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.