Jeg har tidligere skrevet om hvordan når kryptering svikter, er sentrale ledelse vanligvis å klandre. Du har kanskje sett nyheten om at SySS har funnet ut hvordan man samtidig knekke åpne FIPS 140-2 nivå 2 USB-stasjoner fra Kinston, SanDisk og Verbatim. Hvis du ikke har hørt om dette ennå, les videre. Sprekken ville være komisk hvis det ikke var så skremmende lett.
Alle USB-stasjoner aktuelle bruk 256 bit AES å sikre partisjonen. De bruker også maskinvare for å utføre kryptering prosessen. Feilen er i front end-programvaren som utfører autentisering. SySS fant at når en vellykket passord ble skrevet, var en numerisk streng sendt til stasjonen for å kryptere / dekryptere data. Så langt, så bra. Feilen er at nøyaktig samme numeriske streng brukes av alle stasjonene, uavhengig av passord. Med andre ord ser det ut som den samme nøkkelen alltid blir brukt til å beskytte hver enkelt stasjon. Lag en liten software magi å sende strengen til noen av de nevnte stasjonene, og du vil få tilgang til dataene. Ingen kjennskap til passord er nødvendig, heller ikke brute tvinger. Bare sende magi streng og "poff!" Stasjonen er åpen.
Dette minner meg om den hack en europeisk gruppe funnet med en militær karakter USB-stasjon for noen år tilbake. Det de fant ut er at en vellykket passord utløste en bestemt pin kombinasjon. Trigger pinnen med et batteri, og du har tilgang til stasjonen.
Selvfølgelig dette skaper store problemer for sluttbrukeren samfunnet. Markedsføringen Materialet på stasjonene ser bra ut. De bruker rett algoritmen, møte rett NIST spec, og likevel stasjonene er i underkant av ubrukelig. Hvordan vet du hvilke stasjoner er egentlig trygt? For meg går den tilbake til en kommentar en gammel mentor en gang laget til meg: «blødning kant og kryptografi ikke mix". Gjett den eneste måten å vite sikkert er å la andre dyrlege den for et par år først.
Ingen relaterte innlegg.
