Hoofdcategorieën

Biometrische beveiliging usb-sticks ook niet de oplossing

Door Peter de Boer, vrijdag 27 april 2007 10:20, views: 138.595

Conclusie

Op de vorige test kwamen verschillende reacties - waaronder die van de fabrikant - dat de sticks voldoende veiligheid bieden, immers kan niet iedereen dezelfde dingen uitvoeren als die wij in deze tests hebben gedaan. Het is echter niet onmogelijk, en de kans dat iemand een handig neefje heeft die het wel kan is zeer zeker realistisch. Daarnaast kan in alle gevallen een aangepaste softwareversie via internet worden verspreid zodat iedereen ongeoorloofd gegevens van de stick kan halen, en als dat gebeurt is de beveiliging alsnog vrijwel volledig waardeloos.

In eerste instantie was de leverancier nog niet helemaal zeker van ons onderzoek. Toen we echter de inhoud van een tweede set opgestuurde sticks aan hem konden tonen was hij overtuigd en reageerde hij heel sportief op de resultaten. Hij gaf aan blij te zijn met onze test. 'Ik wil graag een goed product aan mijn klanten leveren, als blijkt dat dat niet het geval is zal ik er alles aan doen om de problemen op te lossen. Alle klanten zullen op de hoogte gesteld worden van de (on)mogelijkheden van de door ons geleverde sticks. We zullen de aanbevelingen die Tweakers.net ons heeft gedaan gaan verwerken in een nieuwe, beter beveiligde, stick.'

TruecryptIn het geval van deze twee sticks zal onze conclusie duidelijk zijn: beide sticks bieden voldoende gebruiksgemak, zo is het inloggen op een website via het lezen van een vingerafdruk wel handig, en - niet onbelangrijk - het gadget- en patsgehalte ligt behoorlijk hoog. Op het punt van beveiliging schieten ze echter te kort en zou ons advies nog steeds een oplossing met Truecrypt of een vergelijkbaar programma zijn.

Tweakers.net is weer veel dank verschuldigd aan Jeroen, alias Sprite_tm. Op zijn website is een Engelse versie van dit artikel te lezen.

T'rug naar huus


Inhoudsopgave


Reacties

«  1  2  3  »

Inderdaad, toen ik las dacht ik ook (zoals de secustick) het moet op hardware niveau (controller) gebeuren en niet in de software. Echter over de kosten. Indien je een ASIC maakt en alles in 1 chip laat is het voor een goede hacker al niet meer te doen. En tegenwoordig is het voor een microcontroller ook al goed te beveiligen. De code is zogoed als niet meer uit te lezen. (Tevens kunnen de programmeer pinnen worden opgeblazen voor extra veiligheid).

Het is jammer dat dit soort beveiligingen op software berusten die op een systeem worden uitgevoerd waar je alle toegang tot hebt... Tevens hoort de encryptie/decryptie van de bestanden op een controller te gebeuren en niet op de PC!!

Echter heb ik wel de volste vertrouwen dat dit soort zaken wel komen. Voor veiligheid van je gegevens is geen prijs gebonden en een prijs van 60 euro (voor software) tegenover 100 euro (hardware) is dan ook snel gemaakt. Door dit soort review en testen dagen jullie de fabrikanten uit wat een zeer goede zaak is.

Nu maar hopen dat een hardware matig oplossing ook goed wordt gemaakt en niet van die rare fouten zoals de secustick

Interresant punt. Echter dan kun je het altijd nog als black-boxing gaan beschouwen..

Knoop een lijntje aan alle mogelijke pinnetjes en probeer te achterhalen wat er gebeurd. Een soort van hardware-debugger. Het is wel vele maler moeilijker maar het is niet te bewijzen ondoenlijk.

En dan is er ook altijd nog de mogelijkheid het dakje van de IC er af te halen en de inhoud uit te lezen met een STM.

http://www.geocities.com/spm_stm/

@eaquitas: Wat heb je dan? Als je encryptie sleutel is gekoppeld met je vinger afdruk heb je nog niets.

Wat je dan hebt is het programma van de microcontroller. Zoals je geen sleutel hebt kun je nog niets, dus de vingerafdruk

Wederom een mooi artikel, het gedeelte over de fingerprint-scanner deed me ook een beetje denken aan een aflevering van MythBusters, waarin ze een vingerafdrukscanner kraken (met gelvingers e.d. :))

Ben benieuwd of de fabrikant de nieuwere versie ook zal laten testen, of dat andere fabrikanten misschien iets opsturen, dit zijn namelijk wel meesterlijke 'reviews' :)

Volgens mij maken ze de vingers op het laasts na met geprinte papiertjes die ze nat maken en zo alles wat vingerafdrukken scant weten open te breken...

Ik gebruik hier een RiTech BioSlimDisk, deze is geheel software en driver loos maar geeft pas toegang tot de disk als je een vinger opgelegd heb (niet overheen schuiven, maar echt opleggen)
De veiligere sticks bestaan dus wel ;)

Elk systeem is kraakbaar, dus ik zou niet te vroeg juichen.

Bovendien vind ik dat beveiliging kraakbaar moet blijven, het moment dat mijn vinger de enige mogelijkheid wordt, is het misschien voor sommigen te verleidelijk om mijn vinger mee te nemen als ze mijn stick stelen. Zoveel is beveiliging mij nu ook weer niet waard.

Als je gegevens zo belangrijk zijn, dat mensen bereid zijn ledematen af te snijden om er aan te raken, zou het dan niet beter zijn je gegevens op een gewone stick te plaatsen. Uiteraard versleuteld door zoiets als opengpg met een sleutelsterkte van 2048 bits of meer.

Hopelijk nemen ze dan gewoon de stick mee zonder te denken aan een mogelijke beveiliging.

Niks is waterdicht en ze kunnen je nog altijd martelen of anders onder druk zetten om de sleutel te bemachtigen maar 't wordt wél plotseling véél meer werk ... en tijdrovender ...

De Bioslimdisk is al gekraakt. De data is NIET geencrypt op de disk. FoxIT heeft daar een rapport over geschreven.

http://www.techworld.nl/a...g-usb-geheugensticks.html

En jij hebt een paar duizend euro uitgegeven om dat rapport in te kunnen zien?

In de link die jij geeft staat namelijk helemaal niets concreets over de veiligheid van de Bioslimdisk!
En het rapport is niet openbaar.

Aangezien RiTech het over smaad en laster heeft denk ik niet dat ze als beste uit het onderzoek zijn gekomen.

Maar ik ben benieuwd of deze zelfde truck ook zou lukken met de Safeboot Phantom. Aangezien de mensen van Safeboot beweren dat hun stick "overeind" bleef in die test.

Een vingerafdrukscan is altijd maximaal geencrypt, nooit gehast en daar ligt een beetje het probleem.

Ik ben benieuwd of dit ook met de apparaatjes van SafeBoot gedaan kan worden...

Ik heb er ook nog wel 1 op de wishlist dan:

Wij hebben sinds kort de aladdin eToken Pro (simpelste uitvoering) in gebruik. Die heeft een klein card OS-je die alleen intern de private key vasthoudt.

Je private key kan alleen gekopieerd worden op of gegenereerd in de eToken. Er uithalen kan nooit meer (claimen ze) enkelt vernietigen. Als je dus een mailtje signed, dan loopt dat dus door je eToken heen.


linkje: http://www.aladdin.com/etoken/
linkje eToken Pro: http://www.aladdin.com/etoken/pro/usb.asp

waarom crypten ze zo'n exe niet met bijv armadillo ofzo? knappe jongen die hem dan nog kan kraken in ollydbg...

Ach.. USB snoopen is ook weer niet zo lasting. En als je eenmaal door hebt dat met welk usb commando de stick geunlocked wordt, is deze stick ook nergens meer.

Laat het programmaatje eerst scannen op aanwezige debuggers, sniffers, loggers en snoopers. Deze desnoods killen en waarschuwingen geven. En natuurlijk eerst een virusscan. Die U3 dingen doen nu alles pas achteraf. Laat ze de grootte van de read-only partitie wat groter maken.

Die U3 onzin... dan stopt iemand de stick in een Linux machine en kan hij "opeens" alles gewoon lezen.

Sorry hoor, maar een USB stick die 'alles' gaat scannen in een tijd dat rootkits voor hardware scanners verborgen kunnen blijven? Een goed beveiligde USB stick vertrouwd nooit de host computer, zeker niet om zijn code goed uit te voeren of juiste informatie over het systeem of de software erop te geven. Bijtend zuur in de USB stick en vingerafdrukherkenning op de stick monteren en volledig in hardware doen. Als je hem open probeert te maken is alles weg.

De eindgebruiker moet toch wel een manier hebben om bij de gegevens te komen. Uiteindelijk moet deze persoon toch een PC een zekere mate van vertrouwen geven. Als de eindgebruiker de gegevens kan benaderen, is het mogelijk om alle opgeslagen informatie te copieeren. Kortom, je moet een inschatting kunnen maken van de integriteit van het systeem waar de beveiligde informatie mee gelezen wordt.

Wat betreft de variatie in vingerafdrukken die niet leiden to een exacte key... Kan er geen gebruik gemaakt worden van drempel waardes om zo tot een exacte key te komen bij het scannen van afdrukken?

Op die manier zou een vingerafdruk, naar mijn mening, exact hetzelfde werken als een wachtwoord.

Ik ben overigens blij te zien dat ze gekozen hebben voor AES encryptie voor die witte stick, al zie ik liever 512bits of hoger dan 256.
De toegang beperken is allemaal wel leuk en aardig, maar als dat het enige obstakel is, dan is dat toch wel een beetje zorgwekkend.

*Denkt aan analogie van windows beveiliging; de zware gietijzeren deur met tig sloten in een tuin met een haag van 20 cm hoog*

-R-

Als ik mij niet vergis worden door politionele instanties gewerkt met een minimum aantal punten van overenkomst gewerkt om een vingerafdruk als rechtsgeldig te laten toebehoren aan een persoon.

Wat jij dus voorstelt is: als een vingerafdruk bestaat uit a + b + c + d +e + f + g = sleutel en je hebt a + c + e + f + g of a + b + e + f dat je dan al de geldige sleutel hebt ...

lijkt me ook niet waterdicht ... kan je nog altijd de sleutel achterhalen door een brute force mi

lol... vingerafdrukken brute-forcen... :o
Wil je op een koop-zondag in de stad gaan staan ofzo? ;)

Misschien ongelukkig uitgedrukt maar ik denk dat het doenbaar moet zijn als je uitgaat van het feit dat je moet bijhouden welke geldige combinaties van de onderdelen een vingerafdruk leiden tot een geldige sleutel ...

Welke vingerafdruk je ook pakt, er komt altijd een sleutel in de vorm van een bitstream uit. Deze bitstream is uiteraard gewoon te brute-forcen.

Nou, niet zo simplistisch gezien.
Wat ik in gedachten had, was niet het weglaten van informatie, maar drempels in te stellen zodat bij elke scan dezelfde waarde eruit komt.

Als het ware converteer je op deze manier de collectie van 'afgeronde' herkenningspunten naar een string van bytes welke weer een sleutel is. Natuurlijk geldt hier hetzelfde als voor elke andere sleutel; hoe meer bytes, hoe groter de bruteforce tijd.

Als er uit een vinger afdruk maar 5 herkenningspunten naar voren kunnen komen, dan is de vingerafdruk wellicht niet veilig genoeg.
Ales er 32 kunt krijgen, dan heb je toch een stevige key.

-R-

Helemaal mee eens. Als de vingerafdruk niet als sleutel fungeert betekent het dat de sleutel in het geheugen van de USB-stick staat. Net als bij DRM ben je dan binnen als je de geheugenplaats weet te achterhalen.

Security through obscurity dus.

Ofwel ga je je drempels te streng instellen zodat, bvb iemand die een litteken krijgt dwars over z'n vingerafdruk, de drempelwaarde niet meer haalt en dus niet meer aan z'n gegevens kan.

Ofwel stel je je drempels te laag in zodat het makkelijk te kraken valt ...

Tenzij je zegt: een combinatie van drie vingers is nodig om tot een geldige sleutel te komen zodat je het aantal variaties ook groter maakt.

Wat betreft de variatie in vingerafdrukken die niet leiden to een exacte key
Er zijn best technieken waarbij er een vaste bitstream afgeleid wordt uit een biometrie. Zie bv http://www.springerlink.com/content/4n9f1vpwmm6aqdt0/ .

Deze bitstream heeft echter niet een zodanige lengte dat je hem direct als sleutel kunt gebruiken. Dat geldt echter voor alle biometrie omdat de hoeveelheid informatie te gering is (<128bits bv).

Toch lijkt dat me een betere beveiliging dan in een geheim hoekje van de stick de sleutel te verstoppen. Desnoods scan je zoveel vingerafdrukken tot je wel genoeg key-materiaal hebt, Als je dan met deelsleutels werkt kan je daarmee ook het probleem oplossen dat je een vinger kwijtraakt of verwondt.

Of je vergroot het met een formule.

Als ik het zo een beetje begrijp wil je dus een USB stick welke een hardwarematige beveiliging kent als eerste laag. De tweede laag kan je softwarematig doen via truecrypt, een lompe 2Kbit sleutel.

Dan wordt het zelfs voor de NSA lastig om je data te achterhalen.

Het beste is om de vingerafdruk matching in hardware te steken. Dan heb je een simpele black box met drie I/O lijnen: vinger-afdruk input, NAND flash en USB. Indien de vingerafdruk matched, kan je het flash-geheugen gaan decrypteren met een intern gegenereerde en opgeslagen sleutel.

Niemand kan de vingerafdruk brute-forcen, want de chip zal waarschijnlijk wel een dikke 2 seconden moeten rekenen voor hij een vingerafdruk gecontroleerd heeft. En de key is onmogelijk aan te geraken; ik wil de persoon nog wel tegenkomen die een 90nm-chip openkrast en de data-lijnen voor het geheugen afluistert ;-).

Maar helaas, een chip die zowel AES als vinger-afdruk sensor is, is een duur dingetje. Hoewel zoiets in ASIC volgens mij echt wel te doen moet zijn.

Was er laatst niet die ophef dat de regeringsinstantiex in de VS een backdoor hadden?

Naja dan is je data toch nog bet veilig voor criminelen :)

Wat ik niet snap is waarom alle dlls van die goede namen hadden en de code ook, hadden ze niet zo'n leuk *onleesbaarmaak programma (alle variabelen en bestanden krijgen namen die super op elkaar lijken maar door net een ander accentje van elkaar verschillen)* over de code kunnen gooien, dan had het ontzettend veel langer geduurd om de stick te kraken.

jah, leg er gewoon een stukje 'security through obscority' bovenop ipv een routine 'useThisRoutineToHackTheUSBStick'....

@therat10430:

Langer duren en moeilijker maken is niet hetzelfde natuurlijk. Daarnaast kun je met wat creatief debuggen al heel snel door zoiets heen komen.

Zoals de conclusie inderdaad al is: Een vingerafdruk oplossing is per definitie verkeerd omdat de sleutel moet worden opgeslagen. Je kunt dan met software en hardware moeilijker maken de sleutel te vinden, maar het zal altijd lukken.

Een oplossing waarbij de gegevens encryptie hebben en je zelf de sleutel moet onthouden is veel veiliger en kost gelukkig niets. Maak je gebruik van een a-symmetrische encryptie dan kun je zelfs andere mensen jouw public key geven en zo dus je collega vragen wat documentjes erop te gooien zonder dat hij de rest van de documenten op de stick kan lezen. (Je kan dan die key gewoon onbeveiligd op de stick zetten)

Zulke software is gratis te vinden en biedt een goede beveiliging, het werkt dan ook gewoon met alle soorten USB sticks, memory cards etc.

Enig probleem is dat het geheel maar zo sterk is als de zwakste schakel. Helaas blijkt het vaak de mens te zijn die de zwakste schakel is, en daar doe je niets aan ben ik bang.

Toch wel verrassend dat ook deze sticks nog relatief simpel kraakbaar zijn.

Die tweede in ieder geval niet meer op simpel wizzkid niveau. Nu moest er toch op stevig gehacked worden, op een niveau dat je niet op iedere hoek van de straat tegenkomt. In die zin is de stick relatief veilig. Maar je staat er toch verbaast van dat er niet een echt veilige stick gemaakt wordt. I.p.v. het geld aan een biometrische gagdet gehalte te besteden, hadden ze beter een hardware oplossing kunnen maken.


HEEL goed dat er nu aandacht aan besteedt wordt, want op deze manier kunnen klanten betere kwaliteit eisen.

Daarintegen vind ik wel eng hoe "makkelijk" die eerste te kraken was. Bijna op het niveau van software van 10 jaar terug waarbij je door een call te wijzigen de hele registratieprocedure kon omzeilen. (Of gewoon "jump equal" in "jump not equal" veranderen, dat soort ongein.) Het is ietsje ingewikkelder dan die oude standaard beveiligingen, maar voor iemand die een klein beetje geoefend is ook geen enorme uitdaging.

Wat gebeurt er als de autorun-functie uit staat op de pc? Kan de stick dan helemaal niet gelezen worden of zijn er dan geen bestanden/dirs te zien?

Tweakers.net kan nog geld gaan verdienen met het het onderzoeken van producten die de fabrikant/leverancier zelf zou moeten doen. Uurtje, factuurtje! :)
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

VNU Media logo Hosted by True

© 1998 - 2009 Tweakers.net - Alle rechten voorbehouden - Uw Privacy - Algemene Voorwaarden

Uitgever van: