Razbijena enkripcija na Kingston, SanDisk i Verbatim USB diskovima

Jedno veliko upozorenje svima koji koriste hardversku enkripciju na nekim od USB fleš diskova proizvođača Kingston, SanDisk i Verbatim: švapska bezbednosna firma SySS je razbila zaštitu koju ovi uređaji pružaju.

Rupa je toliko glupava, da boli. Iako diskovi koriste 256-bitni AES koji je dovoljno siguran, problem je u programu za autentifikaciju pošto on šalje isti string za dekripciju uređaju, bez obzira na lozinku. Interesantno je da se isti string koristi kod uređaja sva tri proizvođača.

Kingston povlači uređaje sa tržišta, Verbatim i SanDisk su objavili da problem postoji, nude update softvera, ali prilično ublažavaju problem smanjujući mu važnost.

Kome se još čita...

Potpis

It's all GNU to me...

Ljudska glupost je uvek bila najslabija karika.

Potpis

Sloba je za 12 godina promenio antropološki kod srpskog naroda. On je od jednog
naroda koji je bio veseo, pomalo površan, od jednog naroda koji je bio znatiželjan, koji
je voleo da vidi, da putuje, da upozna,
od naroda koji je bio kosmopolitski napravio narod koji je namršten, mrzovoljan,
sumnjicav, zaplašen, narod koji se stalno nešto žali, kome je stalno neko kriv - Z.Đinđić

I onda se ljudi cude zasto neki "rucno" kriptiramo usb diskove :)

Potpis

Bolje ispasti glup nego iz aviona
http://www.mulaz.org/

... i sad ide teorija zavjere - "Kingston i SanDisk rade za NSA - namjerna rupa u kriptovanju"

ama ne postoji hardverska enkripcija. Drugo, ja sam lepo rekao da su one stare diskete sa rupicom za zabranu upisa bata. Sto ne naprave usb disk sa rucnom zabranom pisanja brisanja podataka.
Nija vazno koja je enkripcija, vec koliko si ti informisan pa da je na netu lepo i procitas.

naravno da postoji, proguglaj malo i "TPM"

Problem je samo u kvaliteti implementacije. A zasto koristiti jedinstven aes password, umesto korinickog za enkripciju podataka, ostaje dobro pitanje :)

Potpis

Bolje ispasti glup nego iz aviona
http://www.mulaz.org/

Jednostavno je - zato što softver rade imbecili bez dovoljno obrazovanja i znanja o algoritmima kriptovanja. Pročitali su da je AES najbolji i onda misle da su ta tri slova dovoljna zaštita, čim neko vidi AES, ima da odustane. Nije nego... Ne znam za vas, ali meni se čini da je sav noviji softver koji dobijam uz hardver očajnog kvaliteta. Vidi se da ga pišu priučeni ljudi.

TrueCrypt FTW :)

Ja odavno ne verujem tim hardverskim resenjima... pogotovu ne ako ih je readio neki fakin Kingston ili SanDisk... razmislite dobro da li bi ste sigurnost vasih podataka poverili nekim inzenjerima iz 3 lepe koji su radili za saku pirinca dnevno.

Potpis

DigiCortex (ex. SpikeFun) - Cortical Neural Network Simulator:
http://www.digicortex.net/node/1 Videos: http://www.digicortex.net/node/17 Gallery: http://www.digicortex.net/node/25
PowerMonkey - Redyce CPU Power Waste and gain performance! - https://github.com/psyq321/PowerMonkey

Misliš nešto ovako:


Ali ovo nema nikakve veze sa enkripcijom. Ovo je samo zaštita od pisanja na USB. Zgodna stvar kad razmenjuješ fajlove sa ljudima koji imaju viruse na kompu. Ne zato što se brinem da ću zapatiti virus, već me mrzi stalno da brišem fajlove i menjam atribute direktorijumima.

koliko puta sam samo na ovom forumu rekao da ljudi koji se ne bave primenjenom kriptografijom ne treba da pisu kriptografske kodove ? :)

sta mozete da ocekujete , da za 1000 dinara dobijete flash od 4 giga (lupam cenu al je tu negde verovatno) i odlican kriptografski software

to je software za "entuzijaste" koji voled a se hvale u drustvu da im je disk enkriptovan ... :)

ne vidim zasto bi iko s trunkom zdravog razuma , kad je vec dovoljno napredan da mu treba enkripcija , koristio neki software koji je pisao neki kinez za saku pirinca , sto rece Ivan.

TrueCrypt for the win! + multiplatformski je pa vam ne treba uvek windows da pristupite podacima

inace, kad god sam kupiovao usb flash memorije , nikad nisam kupio te neke koje imaju posebne feature , sandisk recimo ima obicaj da od jednog dela flesa napravi virtuelni cdrom , ume da zadaje muke na neWindows sistemima :)

Al pazi, ovo uopste i nije u toj klasi, nije ovo nikakav side-channel weakness, ovo je totalna nesposobnost i back-door velik ko avion. Ekvivalent bi bio da ugradis na stan H-vrata od 5000 evra sa citacem retine i onda na ista stavis klasican pijacni cilindar koji zaobilai sve mere zastite i pride okacis kljuc ispred vrata

Potpis

Sloba je za 12 godina promenio antropološki kod srpskog naroda. On je od jednog
naroda koji je bio veseo, pomalo površan, od jednog naroda koji je bio znatiželjan, koji
je voleo da vidi, da putuje, da upozna,
od naroda koji je bio kosmopolitski napravio narod koji je namršten, mrzovoljan,
sumnjicav, zaplašen, narod koji se stalno nešto žali, kome je stalno neko kriv - Z.Đinđić

zato i pominjem saku pirinca i 1000 dinara za flash :)

propust jeste idiotski, ali sam siguran da lik koji je napravio taj software nije bas toliki idiot
vec je radio ono za sta je placen, i koliko je placen, a to je da pravi sareni softver ...

Kome treba USB flash sa dobrom zaštitom tu onda treba kupiti proizvod od firme koja se specijalizovala u tome, npr. IronKey (https://www.ironkey.com/products).

Po meni bacanje para za ovu primenu, truecrypt i buvljacki USB flash je sve sto ti treba. Eventualno bolji flash ako hoces dugotrajniji i kvalitetniji storage ali i najjeftiniji je dovoljan u smislu zastite podataka.

Hardverski AES ne znaci nista bolju zastitu, to je marketinski fazon i koriscenje koncepta PKI key dongolva kao analogiju koja ne stoji. Ne postoji dongle koji je tamper-resistant i crypto chip nije na istom dye-u sa flashom i moze da se zaobidje u smislu da se pridje flash delu dongleta i pokupi ciphertext i onda si ponovo u istoj situaciji kao sa truecrypt+flash od 10 evra. Ili moze elektricno da disabluje kill switch i onda da tovari dongle sa bruteforce-om, burgija vrti gde para nece, kao sto se da videti u Terminatoru Ili ce ti neko uvaliti keylogera i pokupiti password, sto je isto problem sa SVIM enc mehanizmima. U svakom slucaju kad uporedis AES enc podatak sa truecrypta i sa irongate-a zapravo truecrypt ima prednost jer koristi XTS mode za koji se veruje da je sigurniji od CBC moda.
Savrsena zastita ne postoji ni u kom slucaju, ako si ciljan za napad i neko ima fizicki pristup tvojoj masini ili ti je masina kompromitovana tesko ces se odbraniti, u tom trenutku ti je USB dongle najmanji problem. Za sve ostalo obican truecrypt volume na USB flashu je vise nego dovoljan jer najveci problem sa flashevima je to sto se gube i sto "pronalazaci" posle citaju podatke, AES encrypted volume bez kljuca to resava.


Meni je mnogo strasnije u celoj ovoj prici sto su svi ovi felericni donglovi NIST sertifikovani.

Potpis

Sloba je za 12 godina promenio antropološki kod srpskog naroda. On je od jednog
naroda koji je bio veseo, pomalo površan, od jednog naroda koji je bio znatiželjan, koji
je voleo da vidi, da putuje, da upozna,
od naroda koji je bio kosmopolitski napravio narod koji je namršten, mrzovoljan,
sumnjicav, zaplašen, narod koji se stalno nešto žali, kome je stalno neko kriv - Z.Đinđić

Mislim da moze da se upgraduje program?

pise da moze , ali koja je poenta ?
sta mislis koliko su radili na toj upgradeovanoj verziji?

mislio sam da smo se slozili da koriscenje tih aplikacija nije dobro resenje ...

Poenta je da imam podatke koji su mi manje vazni 'hardwerski' kriptovane na sandisk contouru, a koji su mi vazni kriptovane u posebnom true crypt kontejneru i to tako radi super brzo i pouzdano i ne sekiram se ako ga izgubim ili ga neko pozajmi.

Jedno pitanje u vezi truecrypt, ranije sam koristio drivecrypt koji ima opcija da se otvori poseban crveni ekran u koji se ukucava sifra da bi se izbegli keylog-eri, tako nesto nisam video u truecryptu, da li to znaci da je on ranjiv na keylogere?

Hm, kako te to crveni ekran moze spasiti od razlicitih varijanti keylogger-a? :)

Mislis, keylogger "cita sa ekrana"?

Kontam da vecina keylogger-a, ovih sto ljudi pokupe na Windowsu, radi tako
sto neki (najcesce) skriveni proces presrece / kupi ono sto se kuca po tastaturi
i salje negde na preko mreze, u nekim odredjenim aplikacijama samo, ili generalno.

Ili gresim?

Potpis

oligofrenolog

Fore sa bojama i "skrivenim" tekst boxovima je zastita od screenscrape+ocr napada, al nisam skoro cuo ni za jedan takav, ipak je mnogo jednostavnije mountovati keylogera i analizirati ukucane podatke nego brljati po svim mogucim ocr-ovanim sadrzajima, bar sto se tice provaljivanja lozinki.

Potpis

Sloba je za 12 godina promenio antropološki kod srpskog naroda. On je od jednog
naroda koji je bio veseo, pomalo površan, od jednog naroda koji je bio znatiželjan, koji
je voleo da vidi, da putuje, da upozna,
od naroda koji je bio kosmopolitski napravio narod koji je namršten, mrzovoljan,
sumnjicav, zaplašen, narod koji se stalno nešto žali, kome je stalno neko kriv - Z.Đinđić

Moz' koristiti sta hoces, al' kad dodju i izbiju ti par zuba recices password u svakom slucaju :P
Kao sto rekoh ranije, najpouzdaniji brute-force alat je Toljaga 1.0 :D

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac