Slo-Tech - Raziskovalci z Univerze Radbound na Nizozemskem so pokazali, da imajo številni SSD-ji z vgrajenim šifriranjem velike varnostne luknje. Gre za pogone, ki imajo avtomatično šifriranje, ki se izvaja z namenskim čipom na samem pogonu (SED - self-encrypting drives). Popularni so postali zlasti v zadnjih letih, ko se je povečalo število napadov na programsko šifriranje podatkov, saj lahko v takem primeru šifrirni ključ prestrežemo v pomnilniku. Toda nova raziskava kaže (članek), da so SED še slabša rešitev.
Ranljivi so SED, ki uporabljajo specifikaciji ATA security ali TCG Opal. Glavni očitek je obstoj tovarniškega gesla, ki poleg uporabniškega gesla prav tako omogoča odklep in dostop do podatkov. Slednjega ni mogoče spremeniti, dostopno pa je vsakomur. Druga ranljivost je slaba implementacija, saj uporabniško geslo ni kriptografsko povezano z zasebnim ključem, ki se uporabi za šifriranje podatkov. To pomeni, da lahko napadalec pridobi DEK (disk encryption key), ne da bi poznal geslo. Z drugimi besedami: disk vsebuje čisto vse podatke, potrebne za rekonstrukcijo ključa in dešifriranje podatkov.
Preverili so le manjše število SSD-jev proizvajalcev Samsung in Crucial, a so bile ranljivosti razširjene povsod. Proizvajalca sta sicer izdala firmware, ki ranljivosti odpravlja. Nanje sta bila nameščen opozorjena že aprila, ko so raziskovalci stopili v stik z njima.
Največje tveganje obstoji za uporabnike Windows, ki uporabljajo Windows BitLocker. Ta zazna podporo za šifriranje na nivoju SSD-ja in v tem primeru šifriranje odstopi namenskemu čipu. To pomeni, da uporabnikom ranljivih SSD-jev niti uporaba programskega šifriranja v Windows BitLockerju ne pomaga. Možno ga je sicer prisiliti, da tega ne stori, a je treba to ročno nastaviti.
Raziskovalci priporočajo uporabo preverjenih odprtokodnih orodij za šifriranje, na primer VeraCrypt. Zanašanje na zaprto implementacijo v strojni opremi je dejavnik tveganja.
Novice » Varnost » Samsungovi in Crucialovi SSD-ji ne znajo varno šifrirati
Oberyn ::
Nepomembna zadeva. Zaprtokodnih orodij niti ne moremo obravnavati kot orodja za šifriranje, ker nihče ne ve, kaj počnejo, niti kako to počnejo. Zato je čisto vseeno, če izvajajo slabo šifriranje ali pa sploh nič. Itak niso noben faktor.
Spura ::
Glavni očitek je obstoj tovarniškega gesla, ki poleg uporabniškega gesla prav tako omogoča odklep in dostop do podatkov.
Tovarnisko geslo je zelo lepo ime za to kar ubistvu je: intelligence agency/law enforcement backdoor.
poweroff ::
Jaz imam vključeno to strojno šifriranje, ampak v resnici potem šifriram še celoten disk programsko z LUKS in svojo home mapi z EcryptFS.
Strojno šifriranje je bolj za to, da odvrne največje idiote ter da je potrebnega več dela, se pa seveda ne zanašam na to, da je varno.
Strojno šifriranje je bolj za to, da odvrne največje idiote ter da je potrebnega več dela, se pa seveda ne zanašam na to, da je varno.
sudo poweroff
Vazelin ::
Jaz imam strojno šifriranje predvsem zato, da če mi kdo spizdi prenosnik, da ne more šariti po mojih podatkih.
darkolord ::
Jaz imam vključeno to strojno šifriranje, ampak v resnici potem šifriram še celoten disk programsko z LUKS in svojo home mapi z EcryptFS.Relevanten xkcd:
Strojno šifriranje je bolj za to, da odvrne največje idiote ter da je potrebnega več dela, se pa seveda ne zanašam na to, da je varno.
Zgodovina sprememb…
- spremenilo: darkolord ()
poweroff ::
Poznam, poznam.
Ampak bolj me skrbi, da mi kdo ukrade prenosnik in pride do podatkov.
Ampak bolj me skrbi, da mi kdo ukrade prenosnik in pride do podatkov.
sudo poweroff
darkolord ::
Novica je sicer površna/zavajujoča:
TCG Opal
After reverse engineering and carefully studying the design of the key derivation scheme used in Samsung's TCG Opal implementation, we have not identified any weaknesses.
Zgodovina sprememb…
- spremenilo: darkolord ()
Spura ::
Jst mam macOS disk encryption in mislim da je zadeva precej secure, glede na to kok so se na zobe metal da so tisti bogi iphone s 4 mestnim pinom odklenil.
gendale2018 ::
>disk vsebuje čisto vse podatke, potrebne za rekonstrukcijo ključa in dešifriranje podatkov
ja sam mali poštar, kurac mi je oštar
čuvajte se žene, bit ćete jebene
čuvajte se žene, bit ćete jebene
gendale2018 ::
truecrypt ni več vzdrževan, čeprav afaik nima neki znanih ranljivosti
uporabi raje veracrypt, njegov naslednik
uporabi raje veracrypt, njegov naslednik
ja sam mali poštar, kurac mi je oštar
čuvajte se žene, bit ćete jebene
čuvajte se žene, bit ćete jebene
MrStein ::
Če koga zanima, ali mu BitLocker uporablja HW ali ne, je ukaz: manage-bde -status (pognati kot Admin...)
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
LeQuack ::
gendale2018 je izjavil:
truecrypt ni več vzdrževan, čeprav afaik nima neki znanih ranljivosti
uporabi raje veracrypt, njegov naslednik
Truecrypt je bil preveč varen, zato so sedaj izdali Veracrypt, ki je CIA/FBI approved, if you know what I mean.
Quack !
MrStein ::
Fizično.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Oberyn ::
Spura ::
LeQuack ::
Truecrypt je bil preveč varen, zato so sedaj izdali Veracrypt, ki je CIA/FBI approved, if you know what I mean.
Hm, lahko mogoče pokažeš kakšno relevantno dokumentacijo na to temo?
Ja glede na to da so avtorji Truecrypta skrivnostno zginil/nehal razvijat in na svoji strani priporočal ljudem naj uporabljajo Bitclocker v Windowsih. Malo preveč naključij.
Quack !
Zgodovina sprememb…
- spremenil: LeQuack ()
SubjectX ::
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo.
Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal..
Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal..
Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
LeQuack ::
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo.
Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal..
Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
Exactly!
Quack !
poweroff ::
Vprašanje. Predvsem je vprašanje kdo so bili TC razvijalci in kaj se jim je zgodilo. Potem šele lahko špekuliramo dalje.
sudo poweroff
gendale2018 ::
bom še začel verjet v teorije zarote.. oziroma sej ni teorija zarote, če je res
ja sam mali poštar, kurac mi je oštar
čuvajte se žene, bit ćete jebene
čuvajte se žene, bit ćete jebene
Oberyn ::
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo.
Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal..
Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
Ne verjamem preveč v take teorije. Avtorji TC sploh še vedno niso javno znani, kako lahko potem tako sigurno vemo, da so do njih pristopile neke agencije. Kaj pa če so bili Čehi? No, do Francoza, ki sedaj nadaljuje z VC, ameriške 3črkovne agencije ne morejo pristopiti. Je pa sicer res, da znajo biti francoske oblasti glih tolk fašistične kot ameriške, če ne še bolj. Enivej, meni se bolj zdi, da so razvijalci TC obupali zaradi keša oziroma bolj točno zaradi ne-keša. Od vseh teh teorij zarot je pomanjkanje keša običajno najbolj enostavna. Tudi sedanji razvijalec vse bolj benti nad pomanjkanjem donacij. Namesto jamranja o agencijah raje potegnite svoje N26 kartice iz žepa in donirajte odprtokodnim projektom, pa bo svet lepši, agencije pa z manj moči. Vsaj dokler je to še dovoljeno.
gendale2018 ::
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo.
Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal..
Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
Ne verjamem preveč v take teorije. Avtorji TC sploh še vedno niso javno znani, kako lahko potem tako sigurno vemo, da so do njih pristopile neke agencije. Kaj pa če so bili Čehi? No, do Francoza, ki sedaj nadaljuje z VC, ameriške 3črkovne agencije ne morejo pristopiti. Je pa sicer res, da znajo biti francoske oblasti glih tolk fašistične kot ameriške, če ne še bolj. Enivej, meni se bolj zdi, da so razvijalci TC obupali zaradi keša oziroma bolj točno zaradi ne-keša. Od vseh teh teorij zarot je pomanjkanje keša običajno najbolj enostavna. Tudi sedanji razvijalec vse bolj benti nad pomanjkanjem donacij. Namesto jamranja o agencijah raje potegnite svoje N26 kartice iz žepa in donirajte odprtokodnim projektom, pa bo svet lepši, agencije pa z manj moči. Vsaj dokler je to še dovoljeno.
aja
Extraordinary rendition @ Wikipedia
ja sam mali poštar, kurac mi je oštar
čuvajte se žene, bit ćete jebene
čuvajte se žene, bit ćete jebene
CyberPunk ::
Možno ga je sicer prisiliti, da tega ne stori, a je treba to ročno nastaviti.
Kako?
VeraCrypt pa sem enkrat uporabljal na eni Win10 tablici, ki je potem nakljucno zmrzovala. Ko sem ga ukinil, je spet delovala OK.
poweroff ::
Francija je glede kriptografije eni bolj konzervativnih držav. V 1990-tih so imeli uporabo močne kriptografije za navadne smrtnike celo z zakonom prepovedano!
sudo poweroff
jukoz ::
Možno ga je sicer prisiliti, da tega ne stori, a je treba to ročno nastaviti.
Kako?
VeraCrypt pa sem enkrat uporabljal na eni Win10 tablici, ki je potem nakljucno zmrzovala. Ko sem ga ukinil, je spet delovala OK.
To je neko sranje z Win10. Mam mešano okolje win10, win8.1 in win7. Samo na win10 me VeraCrypt zeza oz ima sistem težave z branjem in pisanjem v velike datoteke (nekaj 10 GB). Z malimi je vse OK (pod 4GB).
carota ::
Iz leta 2015, Truecrypt report:
Sicer iz leta 2016: VeraCrypt audit reveals attacker treasure trove of critical flaws.
Nekoč sem bral, da so TrueCrypt razvijalci zelo spretno začeli stvar in nikoli izdali svoje identitete. Morda so, ko je postala zadeva preveč vroča, le dvignili roke.
VeraCrypt mora imeti blagoslov z vrha, sicer bi jih že "našeškali" ...
The TL;DR is that based on this audit, Truecrypt appears to be a relatively well-designed piece of crypto software. The NCC audit found no evidence of deliberate backdoors, or any severe design flaws that will make the software insecure in most instances.
Sicer iz leta 2016: VeraCrypt audit reveals attacker treasure trove of critical flaws.
Nekoč sem bral, da so TrueCrypt razvijalci zelo spretno začeli stvar in nikoli izdali svoje identitete. Morda so, ko je postala zadeva preveč vroča, le dvignili roke.
VeraCrypt mora imeti blagoslov z vrha, sicer bi jih že "našeškali" ...
bbbbbb2015 ::
gendale2018 je izjavil:
truecrypt ni več vzdrževan, čeprav afaik nima neki znanih ranljivosti
uporabi raje veracrypt, njegov naslednik
Truecrypt je bil preveč varen, zato so sedaj izdali Veracrypt, ki je CIA/FBI approved, if you know what I mean.
Točno to. Pa Veracrypt gostuje na fancoski domeni. Moj bog. Seveda bi lahko bilo še huje. Gostovanje na izraelski domeni.
Vredno ogleda ...
Tema | Ogledi | Zadnje sporočilo | |
---|---|---|---|
Tema | Ogledi | Zadnje sporočilo | |
» | Možni načini dostopa do podatkov na diskuOddelek: Strojna oprema | 3007 (2666) | St235 |
» | Kriptirani podatki Nexus 6 povzročajo težaveOddelek: Novice / Android | 13652 (10924) | Jst |
» | TrueCrypt na precepu (strani: 1 2 )Oddelek: Novice / Varnost | 28360 (23720) | MrStein |
» | Izšel TrueCrypt 7.0 (strani: 1 2 3 )Oddelek: Novice / Zasebnost | 31955 (28455) | Jst |
» | Ubuntu: šifriranje domačih imenikov in druge novostiOddelek: Novice / Operacijski sistemi | 5330 (3551) | BlueRunner |