Meer USB-opslagapparaten gekraakt met codering


De beveiligingsexpert Matthias Deeg van het bedrijf SySS had laten zien hoe eenvoudig het is zogenaamd beschermde gegevens van de USB-stick Verbatim Keypad Secure te ontcijferen.

Nu kraakte Deeg ook de Lepin Crypto USB Flash Drive EP-KP001 USB-stick, die ook is uitgerust met een numeriek toetsenbord, en de Verbatim Executive Fingerprint Secure SSD USB SSD. In beide gevallen bracht het onderzoek ernstige veiligheidslacunes aan het licht die in principe gemakkelijk te vermijden zijn.

Met de Lepin Crypto USB Flash Drive EP-KP001 bleek te zijndat de gegevens in werkelijkheid niet worden beschermd met de beloofde “militaire 256-bit AES-XTS hardware-encryptie”. In plaats daarvan blokkeert een controller alleen de toegang tot het flashgeheugen totdat u de juiste pincode invoert. Als je de controller van een zogenaamd versleutelde USB-stick van dit type verwisselt voor de gedesoldeerde controller van een andere stick van hetzelfde type waarvan je de pincode kent, kunnen de gegevens worden uitgelezen (CVE-2022-29948).

In de Verbatim Executive Fingerprint Secure SSD ontdekt Matthias Deeg net als bij het Keypad Secure van dezelfde fabrikant, verschillende beveiligingslacunes. In beide gevallen is de firmware niet goed beveiligd tegen manipulatie, bijvoorbeeld door middel van cryptografische handtekeningen.

De M.2 SATA-opslag van de Verbatim Executive Fingerprint Secure SSD kan worden verwijderd.

AES-gecodeerde USB-communicatie bleek de achilleshiel van de Executive Fingerprint Secure SSD te zijn, hoewel het sleutelgeheim in de bijbehorende Windows-software is ingebouwd en daaruit kan worden geëxtraheerd. Na het extraheren van de sleutel uit de code, kon Deeg het wachtwoord van de USB-communicatie ontsleutelen (CVE-2022-28387).

Verbatim Executive Fingerprint Secure SSD met vingerafdruksensor

Er zijn beveiligingslekken in externe USB-opslagapparaten met hardwareversleuteling al jaren bekend, maar blijkbaar niet de ontwikkelaars van de nu getroffen toestellen. Deeg waarschuwt dan ook voor de risico’s van deze producten, waarvan vele slechts vermeende veiligheid bieden.


Meer van c't magazine

Meer van c't magazine


Meer van c't magazine

Meer van c't magazine



(cw)



Source link

Deze site gebruikt Akismet om spam te verminderen. Bekijk hoe je reactie-gegevens worden verwerkt.

%d bloggers liken dit: