EO

Beveiligingsproblemen met veelgebruikte computeropslagmedia

14 november 2018 om 11:26 uur

Onderzoekers van de Radboud Universiteit hebben ontdekt dat veelgebruikte computeropslagmedia die werken met een ‘zelfversleutelende schijf’ niet het verwachte niveau van gegevensbescherming bieden. Kwaadwillende experts met directe fysieke toegang tot dergelijke opslagmedia kunnen de bestaande beveiligingsmechanismen omzeilen en zonder kennis van het wachtwoord toegang krijgen tot gegevens.


De gebreken zijn te vinden in het versleutelingsmechanisme van de volgende solid state-schijven (SSD's):

  • de Crucial (Micron) MX100, MX200 en MX300 interne harde schijven;
  • de Samsung T3 en T5 externe USB-stations;
  • de Samsung 840 EVO en 850 EVO interne harde schijven.


De kwetsbaarheden komen zowel voor in interne opslagapparaten (in laptops, tablets en computers) als in externe opslagapparaten (aangesloten via een USB-kabel). Tot de getroffen opslagmedia behoren populaire modellen die momenteel veel worden verkocht.


Onderzoeker Bernard van Gastel: "De betrokken fabrikanten zijn een half jaar geleden op de hoogte gebracht volgens de gangbare professionele praktijk. De resultaten worden nu openbaar gemaakt, zodat betrokken organisaties en consumenten hun gegevens goed kunnen beschermen."

 

Aanbevelingen

Als gevoelige gegevens moeten worden beschermd, is het aan te raden om in elk geval softwareversleuteling te gebruiken en dus niet alleen te vertrouwen op hardware-encryptie. Een van de mogelijke opties is om het gratis VeraCrypt-open-source- softwarepakket te gebruiken, maar er bestaan ook andere oplossingen.

 

Achtergrond

Encryptie (versleuteling) is het belangrijkste mechanisme voor gegevensbescherming. Dat kan zowel via software als via hardware, bijvoorbeeld in SSD's. In moderne besturingssystemen wordt over het algemeen softwareversleuteling gebruikt voor de gehele opslag. Het kan echter voorkomen dat zo'n besturingssysteem zelf besluit enkel te vertrouwen op hardwareversleuteling. BitLocker, de versleutelingssoftware die in Microsoft Windows is ingebouwd, kan een dergelijke switch naar hardwareversleuteling maken maar biedt in deze gevallen dan toch geen effectieve bescherming. Encryptiesoftware die in andere besturingssystemen (zoals macOS, iOS, Android en Linux) is ingebouwd, lijkt onaangetast als deze switches niet worden uitgevoerd.

 

Gebruikte methoden

De onderzoekers vonden de kwetsbaarheden met behulp van openbare informatie en ongeveer 100 euro aan evaluatieapparatuur. Ze kochten de SSD's die ze onderzochten via de normale verkoopkanalen. De kwetsbaarheden zijn vrij moeilijk te ontdekken. Echter, zodra de aard van de kwetsbaarheden bekend is, bestaat het risico dat exploitatie van deze gebreken door anderen wordt geautomatiseerd, waardoor misbruik gemakkelijker wordt. Specifieke technische instellingen (met betrekking tot bijvoorbeeld 'high' en 'max' security) van interne schijven kunnen van invloed zijn op de kwetsbaarheid.

 

Windows-computers

Op computers met Windows zorgt een softwarecomponent genaamd BitLocker voor de versleuteling van de gegevens van de computer. Binnen Windows wordt het soort versleuteling dat BitLocker gebruikt, ingesteld via de zogenaamde Group Policy . Alleen een geheel nieuwe installatie, inclusief het opnieuw formatteren van de interne schijf, zal softwareversleuteling afdwingen. Het wijzigen van de standaardwaarde lost het probleem niet onmiddellijk op, omdat het bestaande gegevens niet opnieuw versleutelt.

 

Verantwoorde openbaarmaking

De fabrikanten zijn in april 2018 via het Nationaal Cyber Security Centrum (NCSC) geïnformeerd. De universiteit heeft de gegevens aan beide fabrikanten verstrekt opdat ze hun product kunnen aanpassen. Crucial en Samsung zullen zelf gedetailleerde informatie verstrekken aan hun klanten over de betreffende modellen.

 

 

Gerelateerd nieuws

Hack-activiteiten nu op tijd vindbaar en zichtbaar

Hack-activiteiten nu op tijd vindbaar en zichtbaar

Cyberaanvallen zijn er tegenwoordig op gericht in één keer krachtig toe te slaan en grote schade te veroorzaken. Vaak vergen ze maanden van geheime voorbereiding. Om op tijd verdachte activiteit in dataverkeer aan het…

Sluismodules vergemakkelijken grootschalige renovatie

Sluismodules vergemakkelijken grootschalige renovatie

Een algoritme dat leidt tot lego-achtige modules om sluizen uit op te bouwen. Daarop is Tim Wilschut gepromoveerd aan de TU Eindhoven. De modules moeten het vervangen en renoveren van uiteindelijk alle 127 sluizen van…

Supergeleiders zorgen voor lichtere windmolens

Supergeleiders zorgen voor lichtere windmolens

Een windmolen aan de Deense kust bij Thyborøn heeft een wereld-primeur: de conventionele generator, met permanente magneten, is daar vervangen door een exemplaar met supergeleiders. Die nieuwe turbine is half zo zwaar,…

Webshop

webshop

 

Gratis nieuwsbrief

EOL

 

Product van de maand

RSS
PROTECT PSC1: programmeerbaar, modulair, multifunctioneel en kostenbesparend

De PROTECT PSC1-veiligheidsbesturing is compact, heeft een modulaire structuur en kan uiterst flexibel worden ingezet....

Focus op

ABB BV
ABB BV

Machineveiligheid, systemen en componenten

B&R Industriële Automatisering BV
B&R Industriële Automatisering BV

Perfection in Automation

Pilz Nederland
Pilz Nederland

Voor industriële (veilige) automatiseringsoplossingen

Rotero Holland BV
Rotero Holland BV

Stappenmotor - Servomotor - Elektro Magneet

Safe PCB Nederland
Safe PCB Nederland

Printplaten/PCB's, prototype en series

Download gratis engineering boeken

A gratis boeken downloaden

 

Agenda

23 november 2018, Groningen

BEYOND THE LAB: the DIY Science Revolution

Dit project laat zien dat mensen mee kunnen doen aan wetenschap en samen de verantwoordelijkheid delen...

13 december 2018, Breda

2-daagse training HAZOP Leader

De HAZOP studie is een veelgebruikte methode voor het identificeren van risico’s en ongewenste...

11 januari 2019, D&F kantoor Breda

4-daagse masterclass Process Safety voor Engineers

Optimaliseer uw procesveiligheids-management systeem met als resultaat minder ongevallen en stijgende...

Meer agendapunten »