Windows-lek maakte ontsleutelen BitLocker mogelijk
Een beveiligingslek in Windows dat Microsoft deze maand patchte maakte het in bepaalde gevallen voor aanvallers mogelijk om harde schijven die met BitLocker waren versleuteld te ontsleutelen. BitLocker is de encryptiesoftware van Microsoft die op bepaalde versies van Windows aanwezig is.
Om toegang tot versleutelde harde schijven te krijgen zijn er verschillende opties, zoals het gebruik van een pincode, usb-sleutel of Trusted Platform Module (TPM). In Windows bevond zich echter een kwetsbaarheid waardoor een aanvaller de Kerberos-authenticatie kon omzeilen en op aangevallen computers de door BitLocker versleutelde harde schijven kon ontsleutelen.
In het geval van de nu verholpen kwetsbaarheid kon een aanvaller hier alleen misbruik van maken als het aangevallen systeem BitLocker zonder pincode of usb-sleutel gebruikte, de computer zich in een domein bevond én de aanvaller fysieke toegang tot de machine had. Volgens Microsoft zijn er geen gevallen bekend waarbij de kwetsbaarheid ook daadwerkelijk is aangevallen. Om het probleem op te lossen is Microsoft Security Bulletin MS15-122 verschenen.
The following mitigating factors may be helpful in your situation:
- This bypass can be exploited only if the target system has BitLocker enabled without a PIN or USB key.
- A domain user must be logged on to the target machine for the attack to succeed.
Hoewel ik geen fan ben van Bitlocker (zie https://www.security.nl/posting/408404/Juridische+vraag%3A+mag+je+encryptiesoftware+zonder+vergunning+aanbieden%3F#posting408486) lijkt met name dat tweede punt een verzachtende omstandigheid. Die geldt natuurlijk alleen als een aanvaller, die het device fysiek in handen gekregen heeft, geen wachtwoord of USB sleutel nodig heeft om de schijf te decrypten (ik weet niet hoe Bitlocker, bij volledige schrijfversleuteling, omgaat met wakker worden uit hibernation of sleep mode).
M.a.w. als je het device altijd uitzet middels "shut down", en vervolgens om te kunnen booten een fatsoenlijk wachtwoord in moet voeren, ben je kennelijk niet kwetsbaar voor dit "lek".
Nb. dit lek toont wel aan hoe belachelijk het advies in http://blogs.technet.com/b/askpfeplat/archive/2014/07/14/bitlocker-pin-on-surface-pro-3-and-other-tablets.aspx is om op tablets met Bitlocker geen pre-boot pincode te gebruiken. Het ding start dan, ook in de handen van een aanvaller, meteen op waarmee het aanvalsoppervlak aanzienlijk is vergroot. Dit soort lekken geven vervolgens toegang tot de op tablet opgeslagen informatie, en waarschijnlijk ook tot via gebruiker-accounts op servers/in cloud opgeslagen informatie.
Ik ben benieuwd hoe lang het duurt voordat Microsoft laatstgenoemde blog-post verwijdert.
Niet standaard, het is 1 van de opties die Windows aanbied. Wellicht kun je je er iets meer in verdiepen voordat je claims maakt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.