Youtuber kraakt BitLocker-versleuteling binnen minuut met Raspberry Pi Pico

Een beveiligingsonderzoeker is erin geslaagd een laptop die met BitLocker is versleuteld binnen een minuut te kraken met behulp van een aangepaste Raspberry Pi Pico. Voor de aanval is wel fysieke toegang tot de laptop nodig.

De BitLocker-tool van Microsoft beschermt gegevens op harde schijven door ze te versleutelen. Stacksmashing ontdekte echter dat de sleutel die hiervoor gebruikt wordt, gemakkelijk te onderscheppen is via een 'sniffing attack'. Daarbij wordt netwerkverkeer afgeluisterd om informatie te onderscheppen.

Bij BitLocker gaat het om het verkeer dat wordt uitgewisseld tussen een losstaande Trusted Platform Module, ofwel TPM, en de cpu in een laptop. BitLocker gebruikt de TPM-chip in een laptop om de decryptiesleutel op te slaan. Om de schijf bij het opstarten van de laptop toegankelijk te maken, wordt de sleutel naar de cpu verstuurd. De communicatie tussen de processor en de TPM is echter niet versleuteld, wat betekent dat de sleutel in cleartext wordt verzonden. Door deze communicatie af te luisteren, kon Stacksmashing de sleutel achterhalen.

Stacksmashing maakte daarvoor een zogeheten TPM-sniffer van een Raspberry Pi Pico. Hij sloot de singleboardcomputer aan op de LPC Bus in de laptop, waardoor hij het verkeer kon onderscheppen. Nadat de onderzoeker de sleutel in handen had gekregen, gebruikte hij de opensourcetool Disclocker om de schijf te ontsleutelen. Vervolgens kon hij alle data inzien.

Microsoft is al langer op de hoogte van dit soort aanvallen, maar benadrukt dat aanvallers hiervoor 'voldoende tijd' nodig hebben. Stacksmashing had echter slechts 43 seconden nodig om de laptop open te maken, de TPM-sniffer aan te sluiten op de LPC Bus en de sleutel te stelen. De benodigde hardware om de TPM-sniffer te maken, kostte hem slechts tien dollar.

Stacksmashing gebruikte voor zijn aanval een Lenovo-laptop, maar ook andere laptops zijn kwetsbaar. De aanval werkt echter alleen als een laptop een aparte TPM en cpu heeft. Zijn de twee samengevoegd, wat op veel laptops het geval is, dan werkt de aanval niet. Gebruikers die zich tegen een dergelijke aanval willen beschermen, kunnen volgens Microsoft mitigerende maatregelen nemen door een pincode te configureren. Overigens werkt de aanval in theorie ook op vergelijkbare processen die informatie vanuit de TPM naar de cpu sturen en niet alleen op BitLocker.

Reacties (113)

[Croga]

De aanval werkt echter alleen als een laptop een aparte TPM en cpu heeft. Zijn de twee samengevoegd, wat op veel laptops het geval is, dan werkt de aanval niet.

Ofwel: Zowieso alle laptops die voldoen aan de eisen voor Win11 zijn niet kwetsbaar.

Hoewel het natuurlijk heel kwalijk is dat een TPM module, bedoelt voor beveiliging van systemen, zijn gegevens in plain text verstuurd, is dit nou ook weer niet echt een schokkend nieuwsbericht. De laatste keer dat er een systeem is uitgebracht wat hier kwetsbaar voor was is al een jaar of 8 geleden.

[JapyDooge]

TPM 2.0 ondersteund versleutelde sessies, en als je een boot key gebruikt dan is deze aanval sowieso niet mogelijk.

Deze video doet al een aantal dagen de ronde op diverse nieuwssites en sociale media, en ik was blij dat Tweakers er niet in mee leek te gaan, maar helaas - het is alsnog een headline.
Dezelfde kwetsbaarheid is mogelijk met alle andere bootloaders die full disk encryption doen met een key in TPM. Dit is niet uniek voor BitLocker, maar het is natuurlijk wel mooie clickbait.

De gebruikte laptop is een model uit 2012. In de beschrijving van de video staat een link naar een document uit 2019 wat exact dezelfde aanval beschrijft, en het nieuwste apparaat daarin is een Surface Pro 3 uit 2014. Ondanks dat die laptop wel TPM 2.0 heeft, wordt die ook niet ondersteund voor Windows 11.

Volgens mij zijn alle devices met Windows 11 ondersteuning voorzien van fTPM (of TPM 2.0 chips die versleutelde sessies ondersteunen tegen sniffen) waarbij deze aanval ook faalt. Deze video is een breed bekende en oude kwetsbaarheid in hardware, en precies een van de redenen dat Windows 11 modernere hardware vereist. Goed gekozen clickbait en storm in een glas water.

[Reactie gewijzigd door JapyDooge op 22 juli 2024 16:22]

[GertMenkel]

Microsoft maakt geen gebruik van versleutelde sessies, dus hoewel dit probleem voor Linuxgebruikers te omzeilen is (juiste flags aan systemd-cryptenroll geven), helpt die beveiliging niet bij Windows.

Als je op andere besturingssystemen de TPM gebruikt en geen versleutelde sessie inschakelt, heb je zeker dezelfde kwetsbaarheid. Toch geloof ik niet dat dit veel voorkomt, de meeste Linux-defaults vragen je gewoon een encryptiewachtwoord in te tikken bij het opstarten.

[JapyDooge]

Microsoft maakt hier inderdaad (nog?) geen gebruik van. Ik hoop dat dit er nog wel aan zit te komen want het zou een goede volgende stap zijn.

Maar het is dan ook aan te raden om een PIN (boot key) te gebruiken als je BitLocker wil voor meer dan bescherming tegen diefstal van de media, en je hardware geen afdoende bescherming bied tegen een aanval als deze.

Zie bijv. ook https://learn.microsoft.c...hentication-be-considered

[GekkeRipper]

Is dit de PIN die je intypt op het Windows login scherm of een andere pin instelling?

[royb3]

Nee, een PIN die je bij het opstarten van Windows zelf krijgt om je disk te unlocken. Zonder die PIN start je laptop dan niet op.

[OruBLMsFrl]

En dat beschermt sowieso veel beter. Een laptop die Windows volledig opstart, inclusief netwerk drivers, die is altijd na een aantal maanden wel weer te kraken toch, elke paar maanden heb je wel weer een goede critical remote vulnerability te pakken. Zo een Bitlocker pre-boot PIN, houdt zo een laptop vooralsnog tientallen jaren veilig van alles behalve TPM / secure element hardware aanvallen, en die zijn extreem prijzig met chips afschuren en andere ellende waar je dan aan moet beginnen, dat gaat ver voorbij alle redelijke / commerciële inspanning en is alsnog geen garantie op succes dat zoiets ook echt zou lukken.

[telenut]

vraag ik me ook af, ik kan inloggen in Windows met een "pincode" maar ik kan op mijn HD vermoedelijk ook een pincode zetten zodat de pc enkel kan opstarten van HD na ingeven van een pincode.

[GertMenkel]

Zeker. Ik zou zelf zeggen dat dat ook de enige goede manier is om je laptop te beschermen.

Ik vind het dan ook jammer dat ze gekozen hebben voor de naam "PIN" want ik zie veel mensen die hier voor het eerst tegen aan lopen denken dat ze alleen maar cijfers kunnen gebruiken. Dat is dus niet zo, net zoals op het Windows lock screen kan je PIN gewoon letters bevatten. Ik weet dat de TPM-specificatie zelf de term "PIN" gebruikt, maar vanwege de verwarring zou ik liever een ander naampje zien in documentatie richting de eindgebruiker.

[Remzi1993]

Inderdaad, het gaat om een boot code waarschijnlijk die je in de BIOS/UEFI kan inschakelen en invoeren.

[xSNAKEX]

Ook bij Windows is dit gewoon mogelijk en dit is ook netjes door MS gedocumenteerd. https://learn.microsoft.c...bitlocker/countermeasures

[GertMenkel]

Ik zie op die pagina niets staan over parameter encryption. Ze suggereren wel om TPM+PIN in te schakelen, wat deze kwetsbaarheid natuurlijk ook voorkomt, maar dat is niet hetzelfde als versleutelde communicatie met de TPM.

Met parameter encryption kun je zonder een TPM PIN in te voeren alsnog het verkeer tussen de CPU en de TPM versleutelen.

[Mavamaarten]

Klopt ja. Hetgeen mij voornamelijk stoort is het woord "kraakt". Er wordt een key geintercept op een bus, dat is wat anders dan het kraken van een key aan de hand van enkel een bitlocker encrypted drive.

Dat alles is geenszins een aanval richting StackSmashing, welke altijd interessante en leerrijke video's maakt voor mensen met een interesse in cybersecurity. Voor ervaren cybersecurity-personen is het wellicht wat simpel, maar voor elke willekeurige dev is alles makkelijjk te volgen en interessant. Het was een leuk filmpje en een interessante oefening voor hem, gewoon jammer dat nieuwssites dit oppikken alsof het iets angstaanjagend en/of compleet nieuw is. Dat heeft hij zelf ook nooit beweerd.

[The Zep Man]

Klopt ja. Hetgeen mij voornamelijk stoort is het woord "kraakt". Er wordt een key geintercept op een bus, dat is wat anders dan het kraken van een key aan de hand van enkel een bitlocker encrypted drive.

Nog steeds wordt een beveiliging gekraakt. Gebruik van terminologie is juist.

[lenwar]

Het is uiteindelijk een geïnterpreteerd taalding nu.

In dit voorbeeld is er een methode gecreëerd waarmee je onder specifieke omstandigheden, de bitlockersleutel meegelezen wordt terwijl, van van de TPM-chip over de lijn gaat bij een paar (achteraf) dom ontworpen stukken hardware.

De kop zegt "Bitlocker is gekraakt". Ik vind het een vrij liberale beschrijving

Stel dat jij je wachtwoord in typt, en ik kijk over je schouder mee. Is het concept "wachtwoorden" dan gekraakt?

[maartenvdezz]

Ik vind het verwarrend. Ik zou "BitLocker-versleuteling" interpreteren als het cipher + de implementatie daar specifiek van.

"kraakt BitLocker" of "omzeilt de BitLocker-versleuteling" vind ik duidelijker.

[Mavamaarten]

Dat vind ik niet. Ik vind dat er een groot verschil bestaat tussen het uitlezen van een sleutel dankzij een hardwarefout in een bepaalde laptop, of het kraken ( ) van Bitlocker wat impliceert dat Bitlocker vanaf nu niet meer veilig geacht wordt.

Het is toch iets anders wanneer iemand de cijfercode van je cijferslot kan afkijken, of dat iemand opeens alle cijfersloten zomaar kan openen omdat hij een manier heeft gevonden om cijfersloten te kraken?

[borft]

Welke beveiliging wordt gekraakt dan? de encryptiesleutel wordt plaintext over de bus gestuurd, en afgeluisterd. Er wordt helemaal niets gekraakt.

[hbvdh]

Deze video doet al een aantal dagen de ronde op diverse nieuwssites en sociale media, en ik was blij dat Tweakers er niet in mee leek te gaan, maar helaas - het is alsnog een headline.
Dezelfde kwetsbaarheid is mogelijk met alle andere bootloaders die full disk encryption doen met een key in TPM. Dit is niet uniek voor BitLocker, maar het is natuurlijk wel mooie clickbait.

De gebruikte laptop is een model uit 2012. In de beschrijving van de video staat een link naar een document uit 2019 wat exact dezelfde aanval beschrijft, en het nieuwste apparaat daarin is een Surface Pro 3 uit 2014. Ondanks dat die laptop wel TPM 2.0 heeft, wordt die ook niet ondersteund voor Windows 11.

Helemaal mee eens, had de video al een keer gezien een paar dagen geleden. Wat ook leuk is om te vertellen is dat dit met deze methode alleen werkt voor dat type laptop en dat een andere type/merk al het onderzoek (welke pinnen, welke clock) en de hardware (de Pi) weer opnieuw gedaan moet worden. Dat wordt niet meegenomen in de tijd die nodig is om de "hack" uit te voeren.

Helaas zijn wel nog een groot deel van de nieuwe laptops voorzien van een fysieke tpm chip.
TPM 2 kan moeiteloos de sleutel encrypted doorgeven maar Windows doet daar dan weer niet aan.
Je kan zelfs bitlokker gebruiken met een usb stick met daarop het txt bestand met de sleutel gewoon plaintext.

Gebruik zelf de fTPM in mijn desktop, maar kan ook een fysieke plaatsen.

[Reactie gewijzigd door hbvdh op 22 juli 2024 16:22]

[Elidibus]

Ja precies, ik las ook ergens de analyse over deze video. Leuk dat het ze gelukt is op oude hardware dat niet meer up to date is. Zo lang ze dit niet op actuele hardware/software kunnen is het eigenlijk meer headlines chasen.

Overigens is het algemeen bekend dat encryption niets meer is dan delayed readability.

[S-1-5-7]

Overigens is het algemeen bekend dat encryption niets meer is dan delayed readability.

Maar tientallen jaren of 1 minuut is toch wel een groot verschil...
Bedrijven leunen erg op Bitlocker bij het beveiligen van hun laptops.

[JapyDooge]

En daarom vereisen veel bedrijven nieuwere hardware dan die in deze post, en als ze slim zijn gebruiken ze ook nog een boot key.

[Elidibus]

Tientallen jaren nu.

Uiteindelijk worden computers alleen maar sneller en beter en neemt die tijd af. Blijkbaar is de BitLocker op deze oudere hardware dus van die tientallen jaren een minuut geworden. Het punt over delayed readability gaat niet enkel over het nu starten van de-encryptie, maar ook over voortschrijdend beter worden van hardware die de benodigde tijd verkort.

[S-1-5-7]

Dat snap ik, maar dat was hier niet aan de orde. De sleutel zelf is niet gekraakt, de onderzoeker heeft een manier gevonden om deze in plain text uit te lezen.
De encryptiekey die Bitlocker gebruikt wordt tot op heden nog steeds als veilig beschouwd.

En uiteraard wordt de hardware beter. Maar de encryptiesterkte veranderd daarin mee. Dat is één van de redenen waarom we telkens overstappen naar nieuwe encryptiestandaarden...

[Polderviking]

Ik vind een jaar of 8 geen schokkende leeftijd voor een computer eigenlijk.
Zeker niet in het consumenten "doet het toch nog" circuit.
Denk dat er meer rondzwerft dan je zou denken.

[Reactie gewijzigd door Polderviking op 22 juli 2024 16:22]

[Buitenaerts]

Alsof een gemiddelde consument weet wat bitlocker is, laat staan gebruikt.

[Polderviking]

Het gaat me meer om dat verkapte verwijt dat het vooral sensatie is.
Al is het er maar 1 die dat wel heeft aangezet, ik zie echt de nieuwswaardigheid wel.

8 jaar is echt niet zo lang geleden.

[TheVMaster]

Inderdaad. Eigenlijk is er weinig aan de hand voor moderne hardware.

[RammY]

Nou ... het gross van de notebooks die afgeschreven worden is niet een half jaar oud.
Aangezien heel veel bedrijven of particulieren geen fatsoenlijk proces hebben voor hardware disposal belanden juist die "hardware dat niet meer up to date is" op straat.
Laat je die dan juist goed kunnen decrypten.
En daar heb je je datalek.

[GertMenkel]

Dezelfde aanval werkt ook op laptops die vandaag nog verkocht worden. TPM 2.0 ≠ fTPM.

Lenovo heeft een fysieke TPM op veel van hun laptops, je kunt er alleen heel lastig op zoeken. Het spec sheet van deze laptop geeft bijvoorbeeld aan een discrete TPM te hebben.

Hoe het bin andere merken zit weet ik niet zeker, maar als je een Thinkpad hebt, is de kans dat je laptop kwetsbaar is in elk geval groot.

[Scriptkid]

en nogsteeds klaagt iedereen dat de eisen van windows 11 nergens op slaan,

en dit zijn nu precies die dingen waarom je een modern supported systeem moet hebben zodat dit soort oude beveiligings issues niet werken / exploited kunnen worden

[Polderviking]

Je kan hier mijns inziens prima los voor waarschuwen zonder de installatie onmogelijk te maken...
Zo populair is bitlocker niet en als je het niet gebruikt is deze kwetsbaarheid ook niet interessant.

[Reactie gewijzigd door Polderviking op 22 juli 2024 16:22]

[Johnny E]

Ben wel benieuwd hoe je tot de conclusie komt dat Bitlocker niet zo populair is.
In mijn ogen is Bitlocker wel degelijk heel populair, het is zo'n beetje de defacto standaard disk encryptie methode op elke standaard zakelijke Windows werkplek.

[Polderviking]

Particulier zie ik het zelden aan staan.

[Benne]

Zat het niet standaard niet in windows home ?

[Polderviking]

Het is een opt-in dingetje, je moet als gebruiker ergens die decyrptiesleutel opslaan.

[hottestbrain]

Het is een opt-in dingetje, je moet als gebruiker ergens die decyrptiesleutel opslaan.

Nope, gewoon niet beschikbaar op home edities: https://support.microsoft...88-5f74-5105-741561aae838

[maniac2003]

Zover ik weet vanaf Pro

[tormentor1985]

Je kan ook je vraagtekens zetten bij het opslaan van encryptie/decryptor sleutels op een device waar die disk in zit. Ik zie het een beetje als je sleutel van de voordeur bevestigen aan een sleutelkastje naast de deur en wat je met een breekijzer binnen 1 minuut kan openen.

[White Feather]

De eisen van Windows 11 slaan ook nergens op. Die zijn namelijk gebaseerd op het aanzetten van alle ingebouwde beveiliging van Windows 11. En een deel van die beveiliging wordt alleen door vrij moderne hardware ondersteund.

Maar 99% van die beveiliging staat dus standaard uit. Waardoor Windows 11 zo geen bal veiliger is dan Windows 10 en gewoon op alle systemen zou kunnen draaien waar Windows 10 ook op draait.

[GertMenkel]

Het jammere is dat Microsoft de versleutelde sessie van TPM 2.0 niet gebruikt, waardoor die nieuwe standaard dus niks toevoegt. Deden ze dat wel, hadden ze hier inderdaad een goed punt gehad.

Ik denk dat TPM 2.0 eerder gebruikt wordt om Windows Hello te verstevigen dan om de versleuteling beter te maken (Windows Hello als in de API voor authenticatie met geheime sleutels, niet Windows Hello zoals consumenten hem kennen van gezichtsherkenning, lekkere naamgeving Microsoft!). Weinig applicaties lijken echter Hello te gebruiken.

[Goldwing1973]

En het gros draait Windows 11 home, die geen Bitlocker heeft, vandaar dat de eisen van Windows 11 voor het merendeel belachelijk zijn.

[bush]

voor win10 was dat zo, win11 home heeft wel bitlocker voor de interne disk, niet voor USB keys etc

[Jelmer]

Ik gok dat je Intel PTT of AMD fTPM bedoeld? Zo nee, heb je een bron? Ik heb een Dell Latitude 7420 van 1,5 jaar oud en die heeft gewoon een ST Micro TPM chip.

[S-1-5-7]

Klopt, volgens mij betekent TPM 2.0 niet automatisch een aparte chip

Typically, it's a separate chip on the motherboard though the TPM 2.0 standard allows manufacturers like Intel or AMD to build the TPM capability into their chipsets rather than requiring a separate chip. (bron)

[JapyDooge]

TPM 2.0 ondersteund echter wel versleutelde sessies (zodat keys niet cleartext te sniffen zijn) - echter Windows gebruikt dit (nog?) niet.

Zonder boot key (PIN) is BitLocker ook enkel bedoeld tegen diefstal van een disk, en als je een boot key gebruikt werkt deze aanval niet.

[Reactie gewijzigd door JapyDooge op 22 juli 2024 16:22]

[Tom Paris]

Win 11 heeft TPM2.0 als minimum requirement, maar waar staat dat dit per se een firmware TPM moet zijn ipv een losse TPM module?

Losse TPM modules hebben allerlei certificering die firmware TPM's niet hebben, dus in veel zakelijke toepassingen zie je ze nog gewoon terug. Inclusief je zakelijke Dell/Lenovo/HP/etc laptop.

[Reactie gewijzigd door Tom Paris op 22 juli 2024 16:22]

[Cybergamer]

[...]
De laatste keer dat er een systeem is uitgebracht wat hier kwetsbaar voor was is al een jaar of 8 geleden.

Dit kan natuurlijk wel een springplank zijn naar de huidige apparatuur, zoals met vele hacks. Daarbij zijn er nog genoeg bedrijven die met oude systemen van 8+ jaar (win 7/8/10 - XP maybe?) werken.

[GertMenkel]

Nee. Diverse lijnen (zakelijke) laptops hebben nog een fysieke TPM. Veel laptops zijn kwetsbaar.

Waarom hebben laptops nog een fysieke TPM als er ook al één in de CPU zit? Joost mag het weten.

De mijne heeft er in elk geval ook één, dat weet ik omdat er firmware-updates voor krijg. En ja, die voldoet volledig aan de eisen van Windows 11.

[GeroldM]

TPM 2.0 is een beveiligiingsstandaard welke op dit al 10 jaar oud is. Alle andere beveiliging die hierop is gebaseerd, is dus net zo kwetsbaar als TPM is.

TPM is voornamelijk een methode voor controle over consumenten voor Microsoft. Dat is dan verpakt in beveiligings-geneuzel. Enkele jaren terug was TPM al te breken door een beveiligde computer aan te zetten, zeer sterk te koelen, dan de computer uitschakelen, geheugen-modules uit de computer nemen en binnen 30 minuten gaven deze modules hun TPM geheimen vrij.

Toegegeven, dat zal niet zo snel gebeuren voor een laptop in het bezit van jou of mezelf. Maar er zijn meer dan genoeg computers waarbij het wel (financieel) aantrekkelijk is om dat uit te voeren.

TPM 2.0 is zodanig achterhaald dat het niet eens als beveiliging zou mogen worden aangemerkt. En toch blijven hele volksstammen ervan overtuigd dat dit wel een goede manier van beveiliging is, want alles wat Microsoft uitkraamt dient te worden geloofd.

[pmeter]

Bitlocker gebruiken heeft alleen zin als je na het opstarten eerst moet inloggen. Werkt deze hack al voordat er is ingelogd? Of moet de LPC-bus specifiek tijdens het inloggen worden 'afgeluisterd'?

[Cilph]

Zodra je op het Windows loginscherm bent is er op encryptie niveau al ingelogd via de TPM module.

[merijnvogel]

Ben dat met je eens, disk encryptie heeft weinig zin als je de sleutel niet hoeft te ontsluiten.
Zover ik begrijp ben je veilig als BitLocker voor het opstarten van Windows een passphrase vraagt (zoals we op mijn werk doen).

Disk encryptie zonder passphrase beschermt alleen tegen diefstal van de schijf zelf of als die wordt weggegooid.

[TheVMaster]

Maar de meeste moderne laptops hebben de CPU en TPM samengevoegd en dan werkt de hack niet. Mochten de CPU en TPM dus niet zijn samengevoegd, dan zou je dus kunnen overwegen om een pre-boot PIN te configureren. In andere gevallen is dat dus niet perse noodzakelijk.

[jordy5]

Het werkt inderdaad niet als je een PIN erop hebt. Zegt hij ook aan het einde.

[BLACKfm]

Inloggen in windows? Of 'inloggen' voor het opstarten door een pincode te gebruiken? Want als windows éénmaal is opgestart gaat een loginscherm je ook echt niet meer tegenhouden. Als je daar op enige wijze toegang kunt krijgen tot de commandprompt ben je ongeacht zo binnen (en daar zijn wel truukjes voor).

Het opstarten van enige O/S betekend dat de boel al niet meer versleuteld is.

Bitlocker zorgt er in principe voor dat je de hardeschijf niet op een andere computer kunt uitlezen, en als je na de POST geen pincode hoeft in te voeren om bitlocker te unlocken ben je lokaal dus al gelijk decrypted.

[XIU]

Maar je laptop moet al kunnen booten en op dat moment wordt de TPM al gebruikt om je systeemdisk te unlocken, het is tijdens dat opstartmoment dat de sleutel wordt uitgelezen. Staat dus helemaal los van het feit dat je laptop in standby of af stond, en staat dus ook helemaal los van hoe je in Windows zelf inlogt, het kwaad is dan al geschied.

[Oon]

Je mag er al sinds de oorsprong van het digitale tijdperk met volledige zekerheid vanuit gaan dat als iemand fysieke toegang tot je apparaat krijgt je data niet veilig is, dit maakt alleen weer duidelijk hóe onveilig het is.

Ben wel benieuwd wat de oplossing gaat zijn, Microsoft zal dit maar al te graag wegmoffelen omdat BitLocker hun enterprise oplossing voor het versleutelen van schijven is, maar een fabrikant zal dit wel willen oplossen.

[lenwar]

De oplossing als zodanig kan niet van Microsoft komen. Dit probleem is namelijk niet een Bitlocker-probleem, maar een TPM-probleem. En specifieker een hardwareontwerpprobleem.

Bitlocker maakt slechts gebruik van TPM. (Als ik een briefje met een decoderingssleutel in een kluis leg, en iemand 'kraakt' de kluis, of kijkt mee naar de cijfercode van de kluis, dan is het niet de fout van het briefje )

Wezenlijk is 'Bitlocker dus niet gekraakt' met deze hack. De sleutel wordt afgeluisterd. Dit is de technologische versie van als iemand over je schouder meekijkt, terwijl jij je wachtwoord intypt. Op dat moment is niet jouw wachtwoord 'gekraakt'. Hij is afgelezen. (nu wordt de decryptiesleutel uitgelezen terwijl hij naar de CPU wordt verzonden.)

Hoewel dit natuurlijk een hele leuke hack is, werkt hij alleen onder hele specifieke omstandigheden Het werkt alleen als:
- Je fysiek toegang tot de TPM hebt
- De TPM geen PIN/wachtwoord heeft (zegt hij zelf ook in z'n filmpje)
- Je een mogelijkheid hebt om de pinnetjes uit te lezen
- Je moet toegang hebben tot de harde schijf
De facto betekent het, dat je de hele computer nodig hebt (dus niet alleen de schijf).

De meeste moderne computers hebben de Bitlocker-chip in de CPU zitten. Hiermee zal het dus ook niet werken.

Als 'bitlocker gekraakt zou zijn', dan zou Bitlocker überhaupt niet meer veilig/bruikbaar zijn.

[mjtdevries]

Bitlocker is bedoelt als beveiliging in het geval de computer gestolen word.

Dus het feit dat je fysieke toegang tot de computer nodig hebt is dan geen mitigerende factor.

[Davidoff1976]

Dan ga je nog nat op andere twee punten in de meeste gevallen.

[Alex3]

Bitlocker is gewoon niet geschikt voor deze hardware. Je zou je data bijvoorbeeld op een aparte partitie moeten zetten die pas ontsleuteld wordt als je inlogt.

[k995]

Dit is al jaren opgelost , dit werk enkel op oude harware.

[Z80]

Hangt er net vanaf wat je oude hardware noemt.
Ik weet van een grote fabrikant die tot 2022 systemen uitleverde met tpm 1.0
Bij een aantal hiervan is dit met een firmware aan te passen, een aantal modellen enkel door de module te vervangen.

[k995]

Van consumenten electronica?

[okkies]

welke oplossin gbedoel je dan ?

[theduke1989]

Ik hoop dat het groot in het nieuws komt.
Dan kan eindelijk Microsoft dit aanpassen, nu verkopen ze het altijd heel netjes.
En mijn manager trapt er ook nog in ook, puur omdat hij geen IT background heeft.

Dit hebben vele bedrijven, een manager die naar cijfertjes en ditjes en datjes kijkt, luisterd.
Maar wanneer het er op aan komt totaal niks van af weet wat hij aangeschaft heeft.

En dan pas later de problemen komen. Ook bij ons is nu het budget klein omdat we flink wat geld betalen aan een oplossing wat voor ons kleine bedrijf on-prem veel beter is.

Ach ja, Bitlocker is dan nog iets kleins.

[PolarBear]

Dan kan eindelijk Microsoft dit aanpassen, nu verkopen ze het altijd heel netjes.

Microsoft heeft dit al lang onderkend? Ten eerste door in de documentatie aan te geven dat deze aanvalsmethode een risico is, en daar een oplossing voor de bieden en ten tweede door TPM2.0 voor Windows 11 te verplichten?

Ik snap je punt niet zo?

[HollowGamer]

Voor de aanval is wel fysieke toegang tot de laptop nodig.

Dit is niet het hele verhaal, je moet namelijk ook toegang hebben tot bepaalde headers op het moederbord, die mogelijk verschillen per model/fabrikant of helemaal niet aanwezig kunnen zijn. Leuk dat hij het voor 10 euro voor elkaar heeft gekregen, maar je moet echt wel weten wat je doet en kennis hebben van zaken.

Bij veel zit het tegenwoordig in de CPU/APU zelf, zoals mij AMD (fTPM). Volgens mij werkt het daar dus niet, aangezien je die niet kunt openen. Al zou je het verkeer wel via een andere manier kunnen onderscheppen, kan mij even niet herinneren of het ook via diezelfde BUS kan.

Het probleem zit hem dus in TPM, en de hele opzet van Windows hierin. Een los wachtwoord, zoals bij luks, vind ik vele malen beter, maar dan wordt de sleutel mogelijk weer heel erg klein. Voordeel is ook dat je sleutel niet afhankelijk is van de TPM-module, al heeft MS weer een mooie oplossing om de keys te bewaren in je online account.

Beide hebben zo hun voor- en nadelen, maar helaas nemen sites het over alsof BitLocker supereenvoudig te kraken is, wat dus niet klopt, want je moet echt wel handig zijn.

[JapyDooge]

LUKS kan ook gewoon TPM gebruiken, en als je geen boot key hebt (ook bij LUKS een optie) dan werkt de aanval daar ook gewoon op. Niets wat BitLocker-only is aan deze aanval.

Als je bij BitLocker een boot key gebruikt (zoals aangeraden), dan werkt de aanval bij BitLocker ook niet.

[begintmeta]

Inderdaad, het principe bij al die TPM-ontsleutelingen blijft hezelfde. (Zie ook https://www.secura.com/bl...nst-non-bitlocker-targets)

Wat deze youtuber goed duidelijk maakt is dat het tijsdsvenster waarin toegang tot de aangevallen hardware nodig is, voor een goed voorbereide aanval nodig is veel kleiner is dan menigeen zou verwachten (in bovenstaande link gaat men bijvoorbeeld uit van een onhandigere manier om de contacten te leggen).

Wat dat betreft is het zoals hier ook al geschreven veel lastiger op moderne hardware, maar ik weet niet of een ʜᴇᴇᴇᴇᴇʟ goed voorbereide aanvaller met veel resources niet ook iets zou construeren voor actuele CPUs&TPMs... (ik kan het me niet voorstellen, maar mensen kunnen soms meer dan ik denk).

In dat geval kan zo'n aanvaller eventueel ook een heel klein afluisterapparaatje inbouwen, dat ook tijdens een pin-entry of na gebruikvan een andere TPM-unlock-factor ongemerkt blijft meeluisteren met de communicatie van de TPM...

Kort samengevat: zodra je niet op elk moment volledige controle over je hardware hebt, kan (van) alles onveilig zijn.

[Reactie gewijzigd door begintmeta op 22 juli 2024 16:22]

[downtime]

Ik zag dat filmpje een paar dagen geleden al en vond het ook nogal overtrokken. Het probleem is niet Bitlocker maar een slechte implementatie van de TPM door Lenovo. Daar kan Microsoft ook niet zoveel aan doen.

[PsiTweaker]

Oke ... toegegeven ... de kans om zo de versleuteling te kraken is misschien klein, omdat je de computer fysiek in handen moet hebben.

Wel maar welke software engineer heeft bedacht dat het verkeer tussen TPM en iets anders ( in dit geval de CPU ) niet versleuteld moet zijn ?

Het maakt m.i. verder ook niet uit of TMP en CPU wel of niet in 1 chip zitten. Het gaat gewoon om het principe. Beveiligings sleutels moeten gewoon zolang mogelijk encrypt zijn en pas decrypt worden op het moment dat het werkelijk nodig is en dáár waar het nodig is. Dán maakt het verder ook niet uit over hoe en wat....

[Reactie gewijzigd door PsiTweaker op 22 juli 2024 16:22]

[JapyDooge]

TPM 2.0 ondersteund versleutelde sessies, maar Windows gebruikt ze (nog?) niet wegens de complexiteit.
Zie bijv. https://security.stackexchange.com/a/259302/304323

[Gronaldo]

En daarom is de TPM vereiste voor W11 nog meer een wassen neus!

[kuurtjes]

Klein? Alle duistere politie diensten zullen al veel langer deze aanval in hun arsenaal hebben.

[Drardollan]

Na al die jaren heb ik nog steeds niet begrepen wat het nut is van Bitlocker (en welke oplossing dan ook) als je er geen pincode gebruikt. Als je systeem gestolen wordt dan kan deze gewoon aangezet worden en de data benaderd worden. Pas als je een pincode oid gebruikt heb een situatie waarbij je data veilig is toch?

Het is leuk dat je voorkomt dat een schijf overgezet wordt naar een ander systeem en daar wordt uitgelezen, maar waarom zou een dief dat doen? Die start ofwel de boel op om gegevens uit te lezen ofwel installeert hij het OS opnieuw. Als je een pincode hebt ingesteld dan kan het eerste in ieder geval niet gebeuren, je gegevens zijn en blijven veilig achter slot en grendel. Dat je het systeem kwijt bent is vervelend, maar data is over het algemeen veel belangrijker.

[ErikRo]

Zolang je een ww nodig hebt met inloggen op Windows zou het veilig moeten zijn.

[Drardollan]

Dat neem ik niet voor veilig aan. Op het moment dat je de Windows inlog voor je neus krijgt kan je van alles uithalen. Helaas werkt een simpele tool als NtPasswd niet meer met wat pech, maar dat is slechts 1 van de bekende methodes.

En dan moet er ook nog eens een wachtwoord ingesteld staan.

Ik denk dat er maar weinig security experts het wachtwoord van Windows serieus nemen als beveiliging.

[Pwigle]

Komt een beetje als clickbait over. De totale tijd die nodig is voor deze aanval (hardware maken, coderen, testen etc.) is aanzienlijk meer dan 43 seconde - en zal per laptop merk/serie anders zijn.

By fysieke toegang tot een computer zijn vergelijkbare aanvallen mogelijk zoals bevriezen memory modules, overschroeven naar vergelijkbaar model om vervolgens de master key uit te lezen.

De veiligste computer is er een die je niet kunt gebruiken en daarmee altijd een compromis met gebruikersgemak, iets wat Microsoft ook beschrijft in de documentatie: gebruik een BitLocker startup pin om deze aanvalsmethode te voorkomen.

[CAP-Team]

Eigenlijk is dit een hardware probleem en geen software probleem

[sipsapsop]

Dit is helemaal niks nieuws of spannends. Zolang er geen authenticatie van de gebruiker nodig is voordat er sleutels vrijgegeven worden aan het OS zal een kwaadwillende altijd de sleutels kunnen ontfutselen. Ze staan immers na het opstarten gewoon in het RAM geheugen wat niet gemaakt is om uitlezen op enige manier tegen te gaan. Microsoft heeft al vanaf het begin aangegeven dat Bitlocker zonder start-up pincode geen volledige bescherming biedt.

[ibmpc]

Euhm, volgens mij was dit al jarenlang bekend? Zolang je dit als acceptabel risico documenteert is er vrij weinig aan de hand. Maar precies om deze reden gebruiken wij ook Storage Sense en Secureboot.