Slo-Tech - Raziskovalci z Univerze Radbound na Nizozemskem so pokazali, da imajo številni SSD-ji z vgrajenim šifriranjem velike varnostne luknje. Gre za pogone, ki imajo avtomatično šifriranje, ki se izvaja z namenskim čipom na samem pogonu (SED - self-encrypting drives). Popularni so postali zlasti v zadnjih letih, ko se je povečalo število napadov na programsko šifriranje podatkov, saj lahko v takem primeru šifrirni ključ prestrežemo v pomnilniku. Toda nova raziskava kaže (članek), da so SED še slabša rešitev.
Ranljivi so SED, ki uporabljajo specifikaciji ATA security ali TCG Opal. Glavni očitek je obstoj tovarniškega gesla, ki poleg uporabniškega gesla prav tako omogoča odklep in dostop do podatkov. Slednjega ni mogoče spremeniti, dostopno pa je vsakomur. Druga ranljivost je slaba implementacija, saj uporabniško geslo ni kriptografsko povezano z zasebnim ključem, ki se uporabi za šifriranje podatkov. To pomeni, da lahko napadalec pridobi DEK (disk encryption key), ne da bi poznal geslo. Z drugimi besedami: disk vsebuje čisto vse podatke, potrebne za rekonstrukcijo ključa in dešifriranje podatkov.
Preverili so le manjše število SSD-jev proizvajalcev Samsung in Crucial, a so bile ranljivosti razširjene povsod. Proizvajalca sta sicer izdala firmware, ki ranljivosti odpravlja. Nanje sta bila nameščen opozorjena že aprila, ko so raziskovalci stopili v stik z njima.
Največje tveganje obstoji za uporabnike Windows, ki uporabljajo Windows BitLocker. Ta zazna podporo za šifriranje na nivoju SSD-ja in v tem primeru šifriranje odstopi namenskemu čipu. To pomeni, da uporabnikom ranljivih SSD-jev niti uporaba programskega šifriranja v Windows BitLockerju ne pomaga. Možno ga je sicer prisiliti, da tega ne stori, a je treba to ročno nastaviti.
Raziskovalci priporočajo uporabo preverjenih odprtokodnih orodij za šifriranje, na primer VeraCrypt. Zanašanje na zaprto implementacijo v strojni opremi je dejavnik tveganja.
Nepomembna zadeva. Zaprtokodnih orodij niti ne moremo obravnavati kot orodja za šifriranje, ker nihče ne ve, kaj počnejo, niti kako to počnejo. Zato je čisto vseeno, če izvajajo slabo šifriranje ali pa sploh nič. Itak niso noben faktor.
TCG Opal After reverse engineering and carefully studying the design of the key derivation scheme used in Samsung's TCG Opal implementation, we have not identified any weaknesses.
Jst mam macOS disk encryption in mislim da je zadeva precej secure, glede na to kok so se na zobe metal da so tisti bogi iphone s 4 mestnim pinom odklenil.
Truecrypt je bil preveč varen, zato so sedaj izdali Veracrypt, ki je CIA/FBI approved, if you know what I mean.
Hm, lahko mogoče pokažeš kakšno relevantno dokumentacijo na to temo?
Ja glede na to da so avtorji Truecrypta skrivnostno zginil/nehal razvijat in na svoji strani priporočal ljudem naj uporabljajo Bitclocker v Windowsih. Malo preveč naključij.
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo.
Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal..
Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo.
Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal..
Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo. Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal.. Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
Ne verjamem preveč v take teorije. Avtorji TC sploh še vedno niso javno znani, kako lahko potem tako sigurno vemo, da so do njih pristopile neke agencije. Kaj pa če so bili Čehi? No, do Francoza, ki sedaj nadaljuje z VC, ameriške 3črkovne agencije ne morejo pristopiti. Je pa sicer res, da znajo biti francoske oblasti glih tolk fašistične kot ameriške, če ne še bolj. Enivej, meni se bolj zdi, da so razvijalci TC obupali zaradi keša oziroma bolj točno zaradi ne-keša. Od vseh teh teorij zarot je pomanjkanje keša običajno najbolj enostavna. Tudi sedanji razvijalec vse bolj benti nad pomanjkanjem donacij. Namesto jamranja o agencijah raje potegnite svoje N26 kartice iz žepa in donirajte odprtokodnim projektom, pa bo svet lepši, agencije pa z manj moči. Vsaj dokler je to še dovoljeno.
TrueCrypt se je nehal razvijati zato, ker so do razvijalcev pristopile tricrkovne organizacije in zahtevale backdoor. Razvijalci so rekli, da raje nehajo razvijati software kot pa da kaj takega naredijo. Naredil se je fork projekta, imenovan VeraCrypt, ki deluje cisto isto kot TrueCrypt, samo da je skrbnik nekdo drug. Tukaj pa je zdaj vprasanje: ali so tricrkovne agencije pristopile k VeraCrypt in so se kaj zmenili? Ocitno so, ker drugace se produkt nebi vec razvijal.. Oz. iz druge smeri: zakaj in kako je VeryCryptu uspelo skenslati tricrkovne agencije, TrueCrypt razvijalcem pa ne?
Ne verjamem preveč v take teorije. Avtorji TC sploh še vedno niso javno znani, kako lahko potem tako sigurno vemo, da so do njih pristopile neke agencije. Kaj pa če so bili Čehi? No, do Francoza, ki sedaj nadaljuje z VC, ameriške 3črkovne agencije ne morejo pristopiti. Je pa sicer res, da znajo biti francoske oblasti glih tolk fašistične kot ameriške, če ne še bolj. Enivej, meni se bolj zdi, da so razvijalci TC obupali zaradi keša oziroma bolj točno zaradi ne-keša. Od vseh teh teorij zarot je pomanjkanje keša običajno najbolj enostavna. Tudi sedanji razvijalec vse bolj benti nad pomanjkanjem donacij. Namesto jamranja o agencijah raje potegnite svoje N26 kartice iz žepa in donirajte odprtokodnim projektom, pa bo svet lepši, agencije pa z manj moči. Vsaj dokler je to še dovoljeno.
Francija je glede kriptografije eni bolj konzervativnih držav. V 1990-tih so imeli uporabo močne kriptografije za navadne smrtnike celo z zakonom prepovedano!
Možno ga je sicer prisiliti, da tega ne stori, a je treba to ročno nastaviti.
Kako?
VeraCrypt pa sem enkrat uporabljal na eni Win10 tablici, ki je potem nakljucno zmrzovala. Ko sem ga ukinil, je spet delovala OK.
To je neko sranje z Win10. Mam mešano okolje win10, win8.1 in win7. Samo na win10 me VeraCrypt zeza oz ima sistem težave z branjem in pisanjem v velike datoteke (nekaj 10 GB). Z malimi je vse OK (pod 4GB).
The TL;DR is that based on this audit, Truecrypt appears to be a relatively well-designed piece of crypto software. The NCC audit found no evidence of deliberate backdoors, or any severe design flaws that will make the software insecure in most instances.
Nekoč sem bral, da so TrueCrypt razvijalci zelo spretno začeli stvar in nikoli izdali svoje identitete. Morda so, ko je postala zadeva preveč vroča, le dvignili roke. VeraCrypt mora imeti blagoslov z vrha, sicer bi jih že "našeškali" ...
