Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Szigorúan őrzött pendrive-ok

2010.01.06. 12:09 | buherator | 1 komment

A német SySS GmbH munkatársai több, NIST 140-2 Level 2 minősítéssel rendelkező pendrive-ot érintő problémát tettek közzé, amely lehetőséget biztosít az eszközökön tárolt titkosított adatok visszaállítására. A fenti minősítéssel rendelkező adathordozókat alkalmazzák az amerikai kormányhivatalok illetve a hadsereg bizalmas adatainak tárolására is. 

A megjelent német nyelvű tanulmányok - melyet a H-Security munkatársai szerencsére angolul is összefoglaltak - leírja, hogy Kingston, SanDisk és Verbatim "szuperbiztonságosnak" kikiáltott USB stickjei ugyanazt a hibás elven működő jelszóbekérő alkalmazást használják. Bár maguk az eszközök hardveres AES-256 titkosítást végeznek, amely természetesen megfelelőnek tekinthető, a SySS kutatói megfigyelték, hogy a jelszóbekérést végző program mindig ugyanazt a bytesorozatot küldi el a pendrive-oknak, a jelszótól függetlenül. Kis módosítással természetesen a programot rá lehet venni, hogy akkor is küldje el ezt a sorozatot és végezze el a titkosított kötetek felcsatolását, ha a jelszó nem volt megfelelő. 

A Kingston visszahívta az érintett termékeket, a másik két gyártó szoftverfrissítést adott ki - megjegyezném, hogy a probléma nem feltétlenül oldható meg pusztán szoftvers úton (természetesen a megvalósítás részleteivel nem vagyok tisztában). Ezen kívül felmerül a kérdés, hogy hogyan kaphattak ezek az eszközök ilyen komoly minősítést, valamint hogy mennyit ér a minősítő rendszer, ha ilyen silány minőségű eszközök is átcsúszhatnak a rostán?

Philippe Oechslin 26C3-as előadásában további kínos eseteken keresztül bemutatta, hogy milyen fantáziadús módokon képesek elbaltázni a különböző gyártók a pendrive titkosítás triviálisnak tűnő feladatát, ezt is érdemes meghallgatni az érdeklődőknek!

Címkék: sandisk pendrive kingston kriptográfia verbatim syss

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

EQ · http://rycon.hu 2010.01.06. 14:34:18

btw ott volt még az is h vmelyik két márkát, de lehet mind a hármat csak európában árusították! ÖSSZEESKÜVÉS!