Hoofdcategorieën

Goede beveiliging mobiele dataopslag blijft moeilijk

Door Peter de Boer, vrijdag 3 augustus 2007 11:42, views: 36.203

Reactie en conclusie

Nadat mobile-harddisk.nl op de hoogte was gesteld van de resultaten kregen we een nette reactie terug:

'We zijn teleurgesteld dat de schijven die op het oog zo veilig leken, zo eenvoudig te hacken zijn. We halen ze niet uit het programma, maar verkopen ze ook niet meer als oplossing om zeer vertrouwelijke data te beschermen. We hebben contact met de beide fabrikanten opgenomen, en ze gevraagd om een reactie. We hopen dat ze deze informatie gebruiken om hun producten te verbeteren, en we hopen dat ze deze test zien als een waardevolle aanvulling op hun ontwerpproces. We nemen ook contact op met al onze klanten, en bieden hen de mogelijkheid de schijf te retourneren. Wij zullen op onze beurt proberen deze schijven terug te sturen naar onze leveranciers. Wij denken dat we door onze producten ter test aan te bieden, en onze klanten de mogelijkheid bieden hun geld terug te krijgen onze verantwoordelijkheid voor de producten die wij verkopen ruimschoots nemen .'

De leverancier van de iUSB heeft inmiddels gereageerd. Ze brengen een nieuwe firmware uit die de geconstateerde problemen moet oplossen. Van de leverancier van de BIO-250U hebben we nog geen reactie mogen vernemen.

BeveiligingsniveauHet blijkt maar weer dat sommige fabrikanten niet eens beschikken over de geringste basiskennis met betrekking tot beveiliging. De keuze voor verificatie via een vingerafdruk maakt de BIO-250U bij voorbaat al kwetsbaar. Omdat de microprocessor te zwak is om de vingerafdruk te controleren moet dit in de software gebeuren, met alle risico's van dien. De iUSB valt ook lelijk door de mand. Hoewel er genoeg gratis sofware te vinden is die een goede beveiliging biedt door middel van sterke encryptie met een wachtwoord zet de iUSB de achterdeur wagenwijd open. Onze conclusie is dan ook weer dat voor huis-tuin-en-keukengebruik de beide schijven wel geschikt zijn, maar dat in het geval van strikt vertrouwelijke data maar beter uitgekeken kan worden naar een andere oplossing. Het wordt een beetje saai, maar we verwijzen graag weer naar Truecrypt.

We willen Bjorn Heirman van mobile-harddisk.nl bedanken voor het ter beschikking stellen van de schijven. Daarnaast ook een woord van dank voor Jeroen - op Tweakers.net bekend als Sprite_tm - voor het beschikbaar stellen van zijn kennis en tijd.

T'rug naar huus


Inhoudsopgave


Reacties


Wederom een interessant artikel. Ik hoop dat jullie doorgaan met het testen van "secure" oplossingen.

Momenteel kijk ik naar een Stealth MXP usb-stick, ik hoop echt dat jullie die eens onder handen willen nemen!

Die Stealth MXP is inderdaad een mooi apparaatje met hardware based encryptie. Jammer alleen dat ze nog steeds aan fingerprint authenticatie doen. Alles wat je nodig hebt is de vinger van de eigenaar... }>

Dit apparaat wordt in Nederland geleverd door SafeBoot onder de naam SafeBoot for USB Phantom. Deze apparaten zijn tot nu toe veilig gebleken. (FIPS140-2 en diverse andere buitenlandse overheidscertificeringen) Ik zal Tweakers.net een SafeBoot for USB Phantom en een SafeBoot for USB Hard Disk beschikbaar stellen zodat ze er eens naar kunnen kijken.

Tom

De meest gebruikte techniek om gegevens te beveiligen zal encryptie zijn, maar het Franse bedrijf Sipal International kwam enige tijd geleden met een alternatief dat velen wel uit de Mission Impossible-films zullen herkennen: een beveiligde stick die zichzelf vernietigt als er te vaak een verkeerd wachtwoord wordt ingevoerd. De stick is ontwikkeld in opdracht van de Franse overheid, en - volgens het persbericht van het bedrijf - revolutionair, superveilig en goedgekeurd door de Franse veiligheidsdienst. Naast de Franse overheid zouden ook de defensie-industrie en het bankwezen, respectievelijk met name Dassault en Crédit Agricole, van de stick gebruik maken.
Bron

De eerste stick die tweakers kraakte was een door de (Franse) overheid goedgekeurde ;)

Toch zullen ook op deze stick de gegevens op de een of andere manier versleuteld moeten zijn. Het wachtwoord is niets anders dan een authenticatie methode om te bepalen of diegene die toegang wil krijgen de juiste persoon is. Wanneer er geen versleuteling is of een andere manier om de gegevens te beveiligen is de authenticatie nutteloos. Gewoon geen wachtoord invoeren bijvoorbeeld en de flash rechtstreeks benaderen met low-level tools.

Tom

niet eens ... }>
alleen de afdruk, vanaf een glas bijvoorbeeld

Het lijkt me dat een USB stick met een TrueCrypt volume plus eventueel de TrueCrypt setup toch prima voldoet, zoals de conclusie ook al aanraad. Kun je ook nog naar hartelust combinaties van technieken kiezen. (Gebruik zelf AES+Twofish)

[Reactie gewijzigd door geez op vrijdag 3 augustus 2007 12:17]


Waarbij ik me dan gelijk afvraag waarom de leveranciers van de beveiligde dataoplsag niet gewoon gebruik maken van dit soort software om de beveiliging te regelen.

Zeker als je daarbij bedenkt dat deze software ook nog eens cross-platform is.


Omdat die software open source is, en niet veel bedrijven willen zulke onderdelen van hun hardware open source maken. En dat is het grootste nadeel van OSS.

Toch blijft het gewoon onwetendheid. De source heeft zich kennelijk al jaren bewezen, iedereen kan het zo inzien en tóch is het nog niemand echt gelukt om te kraken.

Dan zijn deze 'veilige' sticks en harde schijven toch beschamend voor de makers. Zelfs zonder source, zonder enige modificaties aan de hardware of ook maar enige merkbare schade, slaagt Sprite_tm (hulde _/-\o_ ) erin om de beveiligingen te omzeilen. :X

De eigenaar zou niet eens merken dat iemand toegang tot zijn data heeft gehad..... (muv. de iUSB, ander wachtwoord) 8)7

Dit voldoet idd prima voor thuis gebruik en gebruikers die zelf hun gegevens willen beveiligen. Maar in een bedrijfssituatie moet de beveiliging afgedwongen kunnen worden omdat eind gebruikers er zelf geen belang bij hebben om de gegevens veilig te stellen. Dit vinden ze alleen maar lastig. (Joost T. uit Den Haag bijvoorbeeld) De enige wijze voor bedrijven om dit te doen is om de gebruikers geen kans te geven om onbeveiligde data mee te nemen. Hardware encryptie op de gehele stick met centraal afgedwongen policies is daarvoor een goede methode. (SafeBoot for USB Phantom met Enterprise management is 1 van de oplossingen) Wanneer het echter goedkoop en voor eigen gebruik is dan is TrueCrypt uiteraard uitstekend!

Tom

Petje af voor de reactie van mobile-harddisk.nl ... dit zullen weinig bedrijven ze nadoen. Ook wel typerend dat de BIO schijfmaker geen reactie had. Tja.

Maar jullie hebben het over nieuwsgierige familieleden die er niet in kunnen; maar als ik eerlijk ben (en ik weet best wat over software en hardware) was ik hier niet in 1 dag uitgekomen. Ik denk dat jullie jezelf een beetje onderschatten ten opzichte van de alledaagse gebruiker :) .

Maar dan nog; de conclusie is keihard waar. Wil je het echt beveiligd hebben zit je daar nog steeds niet goed.

De winkel neemt zichzelf met de reactie ook in bescherming, zoals uit de laatste zin blijkt.
In die zin nemen ze afstand van eventuele aansprakelijkheid voor schade voortgekomen uit gebruik van de geleverde producten.
Het is dus niet alleen gemotiveerd uit klantvriendelijkheid lijkt me.

[Reactie gewijzigd door Vaudtje op vrijdag 3 augustus 2007 12:45]


Ik neem aan dat er met de nieuwe firmware een hertest zal palatsvinden?

Misschien dat ze deze mannen wel als betaalde testers in dienst nemen.
Is in het verleden wel eens vaker gebeurt dat hackers/krakers ingehuurd waren voor bedrijfen.

Ik denk dat het meer om de nieuwschierigheid gaat of ze de problemen ook daadwerkelijk hebben aangepakt. Het zou niet de eerste keer zijn dat een nieuwe firmware/patch de beloofde fix niet tot nauwelijks oplost.

Het probleem is de sleutel wordt in het HOST OS gecheckt, zolang de hardware zelf de check niet uitvoert zonder invloed door de HOST OS zal het nooit "niet te kraken" zijn.

Een mini harde schijf met een Pinpas systeem zou bijvoorbeeld als veiliger zijn. Of een passcode en genummerde touchpad om de code in te voeren. Dan zou de beveiligde gegevensgebied gewoon gesloten blijven en zou het USB poort niet geactiveerd zijn zolang de hardware niet het systeem vrijgeeft.

natuurlijk hoe veiliger het is hoe moeilijker in gevallen van "oops sleutel verloren" om de gegevens te redden. Daarom dat wij als consument maar met halfslappe oplossingen zitten die te kraken zijn.


Een genummerd touchpad is misschien wel wat overkill, wat wel prima zou kunnen is gewoon alles laten controleren door het apparaat zelf, zodra de gebruiker dus zijn wachtwoord intikt, wordt dit verzonden naar het apparaat, welke het wachtwoord controleert (of probeert met het wachtwoord de inhoud te decrypten, zo wordt er ook geen wachtwoord "opgeslagen" op het apparaat zelf). Eigenlijk moeten de taken gewoon uitgevoerd worden door het apparaat zelf, en niet door de PC waar het apparaat aan hangt, de PC mag alleen gezien worden als input/output voor het apparaat.

(Met "het apparaat" bedoel ik de USB-stick, hardeschijf, of ander medium waarop de data staat)

Dat bedoel ik, dat de gegevens niet via een op de PC draaiend stukje wordt "vrijgegeven" maar op de hardware zelf de afhandeling plaats vindt. Dit zal wel een snellere processor vereisen dan je op menig product tegenkomt. En dus dat zal de snelheid van de opslag limiteren maar is wel veiliger!


Snelheid van de opslag zal je niet zo snel hoeven in te leveren bij zo'n oplossing, maar dan gaat het waarschijnlijk wel wat meer kosten.

In de vorige artikelen werd er verwezen naar een rapport van FOX-IT. Er zou maar een enkele stick zijn die na 20 uur intensief kraken nog steeds niet "open" was. Andere zouden wel te kraken zijn maar toch min of meer veilig zijn. Ik geef zelf altijd Kingston Data Traveler Secure - Privacy Editions mee aan mijn klanten. Die is voorzien van de in dit artikel aangeprezen AES. Als mijn veronderstelling juist is zullen wel meerdere fabrikanten gebruik maken hiervan. Op die manier zou FOX-IT dus een AES stick hebben gekraakt..... Maar ik kan natuurlijk ook teveel veronderstellen.... Wat ik me afvraag is of de schrijver , van dit zeer nette en duidelijke artikel, ook in staat is om de Kingston stick, die ik altijd koop voor mijn klanten, kan kraken. Hopelijk niet, dan kan ik weer rustig slapen.

Alles valt te kraken als je er maar genoeg tijd en geld tegen gooit, in dit geval gaat het meer on "hoe lang duurt het kraken".

Bij beveiling weet je dat iets gekraakt kan worden maar de termijn van hoe lang het veilig is maakt hoe veilig het is. Een zwakke encryptie zoals RC4 hoeft niet slecht te zijn als het maar simpele documenten van geen enkele waarde is. AES kun je veel 'belangrijkere" documenten mee beschermen.

Als je het goed leest dan word er in het host OS de sleutel gecheckt en hier kan een probleem zitten dat met manipulatie van de bestanden je dus een false "key=okay" afgeeft!

AES zelf is dus veilig maar de sleutel controlle kan als minder veilig gesteld zijn. Of jouw stick veilig is, well als FOX-IT het niet kon kraken in 24 uur dan zal de gemiddelde persoon dat ook niet!

( btw als je ook leest over WEP versus WPA zie je waarom zwakke encryptie soms toch gebruikt wordt. Kosten besparend! )

Echt veiligheid krijg je inderdaad alleen maar door zoiets als TrueCrypt!

[Reactie gewijzigd door swampy op vrijdag 3 augustus 2007 17:05]


Ik vermoed dat deze stick van Safeboot is, omdat Fox-IT dit zelf ook levert.

Wat ik wel weet is dat Safeboot een enterprise-grade management tool er bij levert voor al hun producten. Voor kleine omgevingen zou ik voor Truecript gaan en voor wat grotere voor Safeboot.
( Vanwege het centrale management dus.)

[Reactie gewijzigd door Bl@ckbird op vrijdag 3 augustus 2007 23:43]


Ik geloof dat het zo onderhand een standaard wordt:

fabrikant stuurt "beveiligd" apparaat naar tweakers.net (en die sturen het weer door naar Sprite_tm) en binnen een afzienbare tijd staat er weer het stempel "gekraakt" op.

Wordt het eens geen tijd voor de tweakers.net "kraak service": u stuurt ons uw "beveiligde" apparaat en wij kijken hoe goed die beveiliging echt is en vervolgens vertellen we het resultaat aan u en de wereld.

toch blijft het altijd weer humor binnen welke tijd alles gekraakt is

nog niemand het idee gehad om een usb stick te maken met een massief geharde stalen behuizung en een geavanceerd cylinderslot voor de usb ingang? misschien iets duurder in massaproductie en lomper om mee te nemen maar wat is er nu beter als beveiliging van electronica dan een kluis als behuizing? de inhoud is zo teer dat elke poging het open te breken resulteert in een kapotte printplaat. dus geen datatoegang. ik denk dat ik eens een poging ga wagen de ultieme USB stick te maken.

Moet je het uiteraard wel zo doen dat het gewoon door de geheugen module boort, anders kun je hem gewoon op een nieuw printje zetten :+

Wel een heel sportieve reactie van de webshop, hoewel ze het retourneren naar de fabrikant (logisch die maakt zijn beloftes van een veilige stick niet waar) Ik vraag me alleen af wat voor mensen deze hardeschijven (en software) maken, je zou toch denken dat ze zelf ook proberen de HD te kraken.

(ben erg lovend trouwens over de zeer technische en duidelijke analyse van de encryptie, het zou me zelf niet gelukt zijn tbh)

Voor zover ik weet zijn de ATA security functions nog niet gekraakt - en ze zijn ook bijzonder lastig te kraken aangezien alles zich op de schijf zelf afspeelt. Ik snap daarom ook niet waarom je een eigen stuk software ontwerpt als je toch een ATA schijf hebt en een password gebruikt; als je bang bent dat je schijf in een data recovery lab uit elkaar gehaald wordt dan gooi je er ook nog truecrypt over heen.

Of zie ik iets over het hoofd?

Ik denk dat tuecrypt alleen dan al genoeg zou zijn gezien dat alle partijen buiten de deur houdt.... Inclusief data recovery labs of de overheid of wie dan ook.

De xbox (de eerste) maakte hiervan gebruik en zover ik weet zijn alle cracks daarvoor enkel werkend indien je de key die in de bios van de xbox hebt nog had (of de bios chip).

Op dit item kan niet meer gereageerd worden.

VNU Media logo Powered by True

© 1998 - 2009 Tweakers.net - Alle rechten voorbehouden - Uw Privacy - Algemene Voorwaarden

Uitgever van: