Secustick biedt schijnveiligheid

Het bleek dat we al volledige toegang tot de 'beveiligde' bestanden hadden. Blijkbaar wordt alleen in het programma gecontroleerd of het wachtwoord correct is ingevoerd, en wordt op basis daarvan het vrijgavecommando via de dll aan de stick gezonden. Door eenvoudigweg de returnwaarde van de VerifyPassWord-routine te veranderen gaf de schijf zijn - niet versleutelde - inhoud prijs.


De controle van het wachtwoord en het vrijgeven van de bestanden zijn twee aparte processen. Dit mag een ernstige ontwerpfout genoemd worden. De best beveiligde sticks voeren het versleutelen en vrijgeven van de bestanden volledig uit op de chip. Een iets minder goede methode is het vergelijken van een wachtwoord dat versleuteld in de controller is opgeslagen, met een wachtwoord dat door de pc wordt aangeleverd. Deze methode voorkomt in ieder geval dat het wachtwoord van het flashgeheugen gehaald kan worden. Een nog minder goede methode is het opslaan van het wachtwoord op het geheugen van de stick, het risico dat het wachtwoord van de chip gelezen wordt is reëel. De Secustick staat nog een stapje lager op de ladder: de controle van het wachtwoord en het vrijgeven van de stick vindt volledig plaats vanaf de pc. Een pc waar je uiteraard geen controle over hebt als de stick gestolen wordt.