Razbiti USB ključki s strojno podporo šifriranju podatkov

Nekateri proizvajalci USB ključkov med svojimi produkti ponujajo tudi take, ki imajo strojno vgrajeno podporo za šifriranje. Pri tem uporabljajo različne algoritme, Kingston (DataTraveler BlackBox, DataTraveler Secure - Privacy Edition in DataTraveler Elite - Privacy Edition), SanDisk (Cruzer Enterprise USB in Cruzer Enterprise FIPS Edition: CZ22, CZ32, CZ38 in CZ46) in Verbatim (Corporate Secure FIPS Edition in Corporate Secure USB Flash Drive) pa ponujajo take, ki podatke ščitijo z 256-bitnim AES algoritmom. Za nekatere so pridobili tudi poseben certifikat (FIPS 140-2 Level 2), ki naj bi potrjeval, da je uporaba takšnih ključkov zelo varna oziroma je na njih mogoče prenašati tudi zaupne vladne dokumente.

Postopek validacije oz. pridobitve certifikata naj bi bil strog in produkti, ki certifikat pridobijo varni. Tako teorija.

V praksi pa se je izkazalo, da je postopek certificiranja precej nenavaden, če ne celo izredno pomanjkljiv. Nemško podjetje SySS je namreč že certificirane ključke analiziralo in ugotovilo resne pomankljivosti v zaščiti.

Ugotovili so namreč resno pomanjkljivost v programu za preverjanje vnesenega gesla. Program namreč preveri ali je uporabnik vnesel pravilno geslo, in če je temu tako, USB ključku pošlje poseben - in vedno enak - niz znakov, s katerim se podatki na USB ključku odklenejo.

Strokovnjaki podjetja SySS so nato napisalo poseben program, ki ne glede na vneseno geslo USB ključku vedno pošlje ustrezen avtorizacijski niz, s katerim podatke na njem odklene.

Po obvestilu je Kingston pričel z odpoklicom ranljivih USB ključkov, SanDisk in Verbatim pa sta uporabnike obvestila o "potencialni ranljivosti" in jim poslala programski popravek.

So varnostni certifikati zgolj papirnati tiger?