Теж саме було виявлено і описано для USB-накопичувачів з апаратним шифруванням (hardware based encryption) від SanDisk.
Найбільш цікава дискусія на цю тему розгорнулася на блозі Брюса Шнаєра - відомого криптолога і фахівця з комп'ютерної безпеки.
Нагадаємо, що в минулому дана схема аутентифікації насправді була використана багатьма біометричні USB flash drive, тобто процес аутентифікації відбувався на рівні програми, після чого константний сигнал передавався в апаратну частину для відкриття доступу до USB-пристрою.
Дослідники виявили цей сигнал до USB-контролеру пристрою і таким чином вся захист виявилася суцільний вразливістю.
Після перекладу оригінальної статті на російську ми плануємо більш детально розглянути цю уразливість.
У нашому останньому огляді біометричної флешки BioSlimDisk з апаратним шифруванням ми показали на ілюстраціях, чим відрізняється апаратна аутентифікація від програмної для таких пристроїв.
На додаток хочемо привести найбільш важливі, на наш погляд, критерії безпеки для USB-пристроїв:
- Захист внутрішньої конфігурації.
Багато USB-накопичувачі, токени і ін. Пристрої аутентифікації розуміють зміну своїх властивостей, таких як параметри аутентифікації, паролі доступу та ін. Ця конфігурація має бути відповідним чином захищена. - Зовнішня утиліта управління потенційна вразлива.
Якщо є Додатки, які ззовні здатні управляти пристроєм, а також керувати доступом до даних на пристрої, то можливі атаки на їх протоколи. Теж саме відноситься і до віддаленого управління \ видалення пристроїв. Дані протоколи не повинні бути схильні до всіляких REPLY-атакам. - Активні пристрої можуть бути потенційно небезпечними.
Останнім часом з'явилися маркери, які з себе представляють USB-клавіатуру, яка генерує OTP пароль в текстовому вигляді. При підключенні такі маркери мають функцію авто-навігації, яка здатна відкрити на комп'ютері певний web-сайт. Оскільки є свідомо шкідливі сайти, це може привести до зараження ПК.
Незважаючи на можливість наявності багатьох вразливостей в USB-пристроях, життя не може стоять на місці. З цього приводу хочемо вам привести дуже інтресних принцип, який зародився в форумах і блогах під час обговорення різних програм і пристроїв із захисту даних і аутентифікації. Цей принцип говорить: «Шифрування мало» (в оригіналі 'Encryption is not enough'). Це означає:
- Крім того, що дані зашифрованістю, або ще якимось чином закриті, є багато місць, де ці ж дані можна перехопити - незахищені бекапи, тимчасові файли, заражені ПК зі шпигунським ПО і т.д ..
- Протокол захисту і його реалізація повинні бути по можливості відкритими (open source).
- До власне-розробленим алгоритмам шифрування, 100% довіри немає. Можна розраховувати тільки на алгоритми, які визнані спільнотою криптологів і пройшли перевірку часом.
- Має існувати відкрите співтовариство у даного продукту, щоб люди могли своєчасно знаходити уразливості в нових версіях ПО або реалізаціях протоколу, і повідомляти про це всім. Кожна нова версія повинна розглядатися з точки зору безпеки заново.
Якщо певний продукт відповідає цим вимогам, то це привід для довіри йому.