Hardwarematige encryptie van bestanden via usb-stick

Het Franse beveiligingsbedrijf Everbee heeft een interessant gadget op de markt gebracht: een usb-stick die in staat is om zelfstandig gegevens te coderen en te decoderen. De zogeheten Zenbow Data Protection Key beschikt over een op 133MHz geklokte xNSP-processor waarmee gegevens met een snelheid tot 20MBps kunnen worden versleuteld. De data wordt in een speciaal bestand op de pc opgeslagen, en is te benaderen via software die een 'secure virtual disk' aanmaakt. Zodra de DPK uit de usb-poort wordt verwijderd, verdwijnt de drive en zijn de gegevens beschermd met 128- of 256bits encryptie. Behalve de Zenbow-hardware is ook een wachtwoord nodig om de bestanden opnieuw toegankelijk te maken.

Het grote voordeel is volgens de fabrikant dat de gebruikte sleutel noch op de harde schijf, noch in het werkgeheugen wordt opgeslagen. Dat is bijvoorbeeld wel het geval met de in Windows XP ingebouwde encryptie: in theorie zou malware de decodeergegevens kunnen 'lenen', en anders heeft een hacker ook aan gebruikersnaam en wachtwoord al genoeg om de data te benaderen. Gegevens die met behulp van de DPK zijn versleuteld, zijn zonder het usb-stokje echter praktisch niet te ontcijferen. De Zenbow DPK is voor zowel officieren van justitie als voor ieder ander die gevoelige data wil beschermen, te koop voor 99 euro.

Reacties (84)

[Kaaswagen]

Voor alle "AIVD mensen":

Die doen dit nooit. Als je je USB stickie in de huurauto laat liggen kun je niet meer bij 'gevoelige data'. Ik ben er zelf ook al 3 kwijt ondertussen, zou mooi zijn als ik dan mijn project/photoshop bestanden of mn progsels niet kan openen.

Het klopt dat ik redelijk slordig ben en ik heb er dan ook al weer 7, factoren die wel meespelen

[NLChris]

[ ] Geschikt
[x] Ongeschikt

[Verwijderd]

Raak je ook zo vaak huissleutels kwijt, of je portomonee?

Ik denk dat er gewoon te makkelijk wordt omgegaan met data, omdat het nog niet ingebakken zit hoe belangrijjk deze kan zijn... Als je goed beseft hoe belangrijk de data op de USB stick is, ga je er gerust niet zo makkelijk meer mee om en vergeet je deze heus niet.

Zo ja, ben je in mijn ogen niet geschikt voor werk als AIVD'er..

[assembler]

Inderdaad kun je deze prima overal laten rondslingeren, je kunt er zelfs de wachtwoorden opschrijven, want de data staat niet eens op de stick zelf!

[kalechinees]

De AIVD zou het klaarspelen de USB stick nog in de laptop te laten zitten sta je met je 256bit encryptie

[bluewarlord]

Op zich heb je daar een goed punt ... Wat nu als je de USB stick kwijt raakt of gejat wordt? Hoe kom je dan nog bij je files?

[bassekeNL]

Via de backup in het datacentrum in de bunker. Je weet wel, iets minder draagbaar (en jatbaar) dan een laptop.

Het idee achter dit "gadget" is dat bij diefstal de data op de laptop nog steeds niet gelezen kan worden. Voorwaarde is dan wel dat de stick niet ook gejat wordt.

[Titusvh]

Backup, wa's dat?

[RobTim]

zelfs als de stick gejat wordt heb je nog een username en pw nodig. En als je beide gaat proberen te raden kan het zijn dat de stick zonder melding na een paar keer zijn eigen geheugen wist... geen encryptie-key meer... en jij maar blijven proberen ......
Ondertussen geen toegang tot je data of tot je pc je kunt dan dus ook niet in je bedrijfsnetwerk meer inloggen! En dat is juist de bedoeling van beveiliging.

[Roland684]

Dan stuur je het beveilgde bestand op naar de producent die het voor je recovered
Als een simpel 133 MHz processortje al 20Mbps kan verwerken, dan is het geen zware beveiliging en heb je met een clustertje van 32 complexe 3GHz machines (=grofweg 200 keer de rekenkracht) in no-time de key achterhaald, het zal een kwestie van hooguit enkele uren zijn.

[Frubelaar]

AES is resistant to linear and differential cryptanalysis attacks.
The simplest attack consists of trying all the possible 2128 keys.
Mathematically, if 10 billion PC’s could test 10 billion keys per
second each, it would require a hundred billion years to test all
the keys.

Vrij lang dus

[the_stickie]

Bij een 256bits sleutel zijn er: 1,1579208923731619542357098500869e+77 mogelijkheden (dixit calc )Daarvoor heb je echt wel een beetje meer nodig dan een paar uur! het genereren van al die keys is nl niet zo veel werk/tijd, maar uitzoeken welke nu de goeie is, is al wat lastiger...

[Verwijderd]

De tijdcomplexiteit van het coderen zegt nauwelijk iets over de tijdcomplexiteit van het decoderen. In het algemeen wordt er gestreefd naar een zo groot mogelijke factor tussen deze twee. Ik denk dat je conclusie te kort door de bocht is.

[intGod]

Afgezien van de extra 't', wat is het verschil tussen tijdscomplexiteit en tijdscomplextiteit?

[Rataplan]

Bij het aanmaken van de sleutel kan je een kopietje laten uitprinten, voor in de kluis. Gaat 'ie stuk, dan ben je naar het schijnt wel even bezig met tikken, maar dan kan je gewoon weer bij je data

[Verwijderd]

Dan hebben ze gelijk weer wat te doen!

[Scary Gil]

Is er niet een soort van Recovery Agent beschikbaar?

[The-Source]

als je goed leest moeten ze het dan ook nog het wachtwoord weten maar ja die staart natuurlijk in een .txt op het bureablad

[kalechinees]

Ik denk dat de encryptie pas geactiveerd wordt op het moment dat de stroom eraf gaat. De computer standby staan met de USB erin zijn de bestanden gewoon toegankelijk

[No Brakes]

<ultra vertrouwelijk>
Dienstsuggestie zzrvmp*060122/phd/PRdV/umts
Het is het handigste om het wachtwoord (MinBUSA) met viltstift op de stick zelf te schrijven en die in de draagriem van de computertas te verstoppen. Deze mededeling wissen svp. Niet voor kantine.
</ultra vertrouwelijk>

[knirfie244]

en het wachtwoord op een stickertje op de achterkant van de stick hè?

[Platypussy]

Ok, kom maar op met die AIVD grappen

[Verwijderd]

hier had de AIVD niet op hoeven wachten om de zaakjes goed voor elkaar te hebben.
IBM (oeps: lenovo) heeft laptops met een hardwarematige chip om de gegevens te encrypten op een virtuele schijf. En sneller dan 2,5 Mb/sec.

[Countess]

de B is duidelijk groot in MBps
dus ze hebben het over 20 MB's per seconde niet 2.5

[Verwijderd]

Je kunt een HD van een laptop ook gewoon via windows encrypten aangezien XP standaard al 256 bits encryptie heeft.
Ik neem aan dat dat bij linux ook geen probleem is.

Waarom zou je dus een nog een hardwarematig oplossing kiezen voor een HD in een laptop ?
Bij een USB stick is dat wel logisch omdat die niet aan een computer gebonden is.

[RobTim]

Als je standaard encryptie van Windows kiest, is de encryptie-sleutel ergens op de harddisk aanwezig. Niet zo veilig dus
Alsof je een touwtje uit je gegevens-brievenbus hangt......

[Dreams]

Bij het aanmaken van een partitie in Linux kun je encryptie aanvinken. Zit stnd in de Linux kernel dus niets extra's voor nodig.

[0siris]

Hiero.

[Verwijderd]

Wachtwoord: Donner

[halfgaar]

doet het artikel toch al ?

De Zenbow DPK is voor zowel officieren van justitie als voor ieder ander die gevoelige data wil beschermen, te koop voor 99 euro.

[BRAINLESS01]

Ik wacht in spanning op de tijd dat bedrijven dit als anti-kopieer beveiliging bij bijvoorbeeld games gaan gebruiken... dan word cracken ineens een stuk moeilijker omdat je eerst de game moet ontcijferen. Zou jammer zijn, want af en toe een game testen voordat je hem koopt is wel zo prettig. Wel goed voor mensen die gegevens willen beschermen (ik noem geen namen )

[Bl@ckbird]

Aladdin maakt deze dingen. In USB Stick format, 128 bit AES encryptie.

Ze doen ook in eTokens.

En met Safeboot kun je 256 Bit AES encryptie loslaten op elke USB stick die je aansluit.

Niks nieuws onder de zon...

[RobTim]

Aladdin maakt alleen sticks en tokens waar je de enkryptie-sleutel in opslaat. Zodra je die USB stick gebruikt wordt de sleutel in het geheugen van de pc gezet en door de encryptiesoftware van de PC gebruikt... niet zo veilig dus

[Bl@ckbird]

Ze gebruike een PKI structuur. (Private en public key)
Deze keys worden op het token zelf gegenereerd. De private key verlaat nooit het token... Uiterst veilig dus...

[RobTim]

Ik waag dat sterk te betwijfelen. Hoe komt het decryptieprogramma dat in het geheugen van de PC draait dan aan zijn private key?
Misschien dat de private key niet op de harddisk wordt opgeslagen maar alleen op het token, maar dan moet het toch een keer naar het systeem geheugen worden gecopieerd om te worden gebruikt.
En het het Windows SWAPFILE is een verlengde van het systeemgeheugen en bevindt zich dus wel op de harddisk.!!!!

[Roland684]

Maar dan maakt iemand wel een emulator die windows laat geloven dat de key in de usb-poort is gestoken. Zo'n key kun je emuleren als je de originele key tot je beschikking hebt gehad. En anders kun je altijd nog de beveiliging uit de game hacken.

Iets beveiligen is erg moeilijk als diezelfde persoon toegang moet hebben.

[Verwijderd]

Inderdaad.
Steinberg gebruikt dit soort beveiligingen al voor hun audio-apps, maar er zijn inderdaad gewoon emulators te vinden die de USB-stick simuleren waardoor het programma toch gewoon werkt

[RobTim]

Je kunt ervan uitgaan als ze een speciale crypto-processor ontwikkelen dat ze wel gezorgd hebben dat niemand weet WAT je moet emuleren of hoe je in die procesor moet komen. Als je niet weet welke algoritmes gebruikt worden en welke key kan je dus ook niets de-crypten.
Soms is het speciale flash memory dat ze daarvoor gebruiken zelfs licht gevoelig... zodra het geopend wordt of ermee gerommeld wordt is het geheugen ineens leeg

[Frubelaar]

Dat is toch net even anders.
Als jij een game koopt krijg je daar die USB sleutel bij.
Het 'password' zit in die sleutel. De hacker hoeft dan alleen maar die sleutel te besturen of de code van de game zodanig aanpassen dat je die sleutel niet meer nodig hebt. Ook zijn er uiteraard maar 'enkele passwords' die werken. Immers als alles zou werken heeft het niet veel effect.

Nu de encryptie key. Ten eeste staat er geen programma op de PC die checkt opdat de sleutel OK is. Er staat slechts een hoop random data op. Het hackertje dat AES encryptie kan breken kan meer dan organisaties zoals NSA. De decrypie gebeurt op de USB stick.
En in tegestelling to de USB stick die bij de game zit de USB stick niet in de gestolen laptop.
Zoja, dan is er een heel groot deel v/d beveiliging weg.
Ik heb ook een USB key. Daarop heb ik een key staan.
Die key is pas bereikbaar als ik een password intik.
Mijn geheugen is te slecht op een random string van 255 chars te onthouden. Dus in vergelijking met AES is het zeer zwak. Een (morphed) dictionary attack heeft dat password waarschijnlijk snel gevonden. Echter het werkt zoals bij een pinpas. Na een X aantal pogingen gaat de key op slot. Dan is ie alleen nog maar te openenen met een master password. Dat password is op een geheim plekkie opgeborgen en heeft the entropy van een AES key. Ik weet dus *niet* dat de stick uit dit artikel ook op slot gaat na eden aantal pogingen. Maar als ie bv na 3 pogingen op slot gaat is het zelfs vrij veilig als je je laptop incl. key kwijtraakt.

[RobTim]

Inderdaad knappe jongen die de NSA overtroeft. Zonder key kan je miljoenen jaren blijven proveren uit deze databagger wat zinnigs te halen.

Met apart verkrijgbare software is er van de key een 'Secure Key' te maken. Daarmee stel je in na hoeveel mislukte pogingen om het juiste gebruikersnaam en password te raden de key zijn 'geheugen verliest'.
Er is dan ook geen master password meer om de key te gebruiken want de passphrase waarmee de data zijn te ontcijferen staat niet meer in het geheugen van de key. De gebruikersnaam en passwordt trouwens ook niet meer.

[Countess]

misschien iets voor de AIVD en andere nederlande veiligheids diensten.
( edit : ok ik was duidelijk niet de enige dit daar aan dacht. )

maar met 20MB per seconde is het best snel en dus goed bruikbaar lijkt me.
ik kan alleen even niet vinden hoeveel er op kan maar 99 euro is het iniedergeval niet veel geld voor zo veel bescherming.
lijkt me een hele goede vinding.

[Verwijderd]

Er kan 'niks' op, je data staat gewoon op je harde schijf, alleen de encryptiesleutel staat op het dingetje...

[Kermit123]

Is er trouwens niet al langer zo'n systeem? b.v PGP in combinatie met een hardware key (USB of smartcard van bv http://www.safenet-inc.com/products/tokens/ikey2032.asp).
Werkt het zelfde, PGP maakt een virtuele harddisk aan en zodra de key er uit getrokken wordt, wordt de disk geunmount. Ik moet zeggen dat ik meer vertrouwen heb in de encrypty van PGP dan in dit bedrijf.

[Splorky]

wat jij bedoeld is een smartcard met usb aansluiting ( of met toch nog extra fucties ), maar zonder eigen proccessor.

[Verwijderd]

Als je hier geen data op kan zetten (wat de meesten wel denken, en ik ook eerst dacht) maar alleen data mee kan versleutelen die op de harde schijf staat, waarom moet dat dan met een processortje op dat ding gedaan worden en niet door de processor van de computer, dat zou toch veel efficienter zijn?

En toch zou een zelf-encryptbare USB-stick waar je data op kan zetten nóg leuker zijn.

[darkfader]

Je hebt deels gelijk. Een 'simpel' microcontrollertje op een USB stick is in meeste gevallen voldoende. Het is misschien wel verstandig om een andere codewoord te gebruiken voor de verschillende bestanden of 'sectoren' op dat geencrypte filesystem. Dat maakt het voor malware iets lastiger omdat ze dan de USB stick moeten benaderen op niet-geopende bestanden te kunnen lezen.
Dus het gaat erom wat malware kan kopieren of doorsturen via internet: Alle gegevens (zoals nodig bij een stick die zelf alles codeert) of alleen de codewoorden van de bestanden (bij simpel microcontrollertje).

[NLChris]

Niemand weet nu hoe er precies geëncrypt wordt. En dit is ook lastig te achterhalen.

[Omegium]

Een van de basisbeginselen van encryptie is dat een aanvaller alles moet weten van de methode, behalve de sleutel. Anders heb je te maken met zogenaamde "security through obscurity". Dat is altijd slecht.

Alle goede encryptiemethoden zijn gebaseerd op algemeen bekende, wiskundige principes.

[RobTim]

Zenbow DPK gebruikt 'standaard' AES algoritmes voor de data. Op welke manier de encryption-key in het DPK memory is versleuteld is geheim. Lijkt me juist goed!

Goed encrytiemethodes zijn goed als wetenschappelijk en openbaar kan worden geverifieert dat ze nauwelijks of niet te kraken zijn.
Maar bv militaire encryptiemethodes zijn ook goed maar strikt geheim en daardoor natuurlijk nóg veiliger.

[Frubelaar]

Het lijkt mij vrij nutteloos om geheim te houden hoe de key opgeslagen is. Uit encryptie oogpunt dan. Bedrijfsgeheim kan anders zijn.

Ofdat militaire encryptie beter is omdat het ook geheim is betwijfel ik. Met de huidige inzichten zijn AES en een handje vol andere alogorithmes onkraakbaar.
Iets wat onkraakbaar is is ook goed voor defensie.
Iets wat publiek is wordt getest door zowel militaire als civile experts. Geheime cyphers alleen door militaire experts. Dus in theorie minder goed getest.

Zoals al schreef "security through obscurity" is altijd slecht.
Ofwel als geheimhoudig de encryptie 'sterker' maakt is ie per defenitie zwak.

[GekkePrutser]

Omdat als je de PC-CPU gebruikt, die ook toegang moet hebben tot de encryptiesleutel. Deze kan dan door malware of spyware uit het geheugen worden geladen. Die draaien namelijk in hetzelfde geheugen als je encryptieprogramma.

Bij deze USB stick is dat niet te doen omdat je geen andere programma's op die stick draait, alleen zijn ingebouwde encryptieprogramma. Dus je kan de sleutel (in elk geval in theorie) niet krijgen.

Natuurlijk heeft malware WEL toegang tot je bestanden terwijl die stick in je PC zit. Maar als je die stick bijvoorbeeld op verschillende PC's gebruikt dan heeft iemand met een rootkit alleen maar toegang tot de ge-encrypte bestanden op de PC met de rootkit, en alleen terwijl die stick er in zit. Niet tot die op de andere PC's dus.

Dat is er dus het voordeel van als je de achterliggende key niet kan achterhalen.

[The - DDD]

Wat je nu als probleem omschrijft is juist het hele nut van het apparaat.

Als je de USB key verwijderd, verwijder je namelijk fysiek het encryptie/decryptie mechanisme. Ding heeft een eigen processor om ervoor te zorgen dat de sleutel die op de usb key staat niet in het geheugen van de computer hoeft te komen.

[dollyking]

zelf-encryptbare usb-stick, die vervolgens alleen uitgelezen kunnen worden door de pc die het er ook op heeft gezet:)

[Frubelaar]

200GB USB stick?

Een ander voordeel is dat de CPU v/d PC veel minder belst word. Eigenlijk het CPU GPU verhaal...

[Verwijderd]

Feitelijk is uw nieuwe disk een speciaal bestand met de extensie .ek. Dit bestand is alleen zichtbaar in de Windows Verkenner als u uw de DPK heeft aangesloten.


Dus als ik het goed begrijp is dit geen opslag medium, maar een encryptie sleutel met eigen processor....

Daarnaast word er gesteld, dat de gebruikte sleutel nooit in het werkgeheugen word geladen, maar er staat ook:
BELANGRIJK

Het is uiterst belangrijk dat u uw ‘passphrase’ (encryptie-sleutel) uitprint en op een veilige plaats bewaart.
Het is de enige manier om uw gegevens ooit nog te kunnen gebruiken als uw DPK zoek of defect zou zijn.

Ik neem aan dat de usb key niet zelf de printer aanstuurt, dus via windows en staat dus de 'passphrase' tijdelijk in het werkgeheugen..

[HariZ]

Dan zul je dus toch écht met 'analoge' tools moeten werken als je het echt helemaal veilig wilt doen... Oftewel: pen + papier pakken en opschrijven die key!

[jqv]

of heel lang oefenen

[Verwijderd]

Maar dan word het toch nog op het beeldschermpje getoverd???? (is ook via het geheugen)

[jqv]

Je hebt gelijk.
Nergens op de site wordt gesproken over de capaciteit.

Wel over 128 en 256 bits versleuteling.

Dus eigenlijk is het een inderdaad een encryptie-hulpje.

[Verwijderd]

Het is uiterst belangrijk dat u uw ‘passphrase’ (encryptie-sleutel) uitprint en op een veilige plaats bewaart. Het is de enige manier om uw gegevens ooit nog te kunnen gebruiken als uw DPK zoek of defect zou zijn.

M.a.w. als je dongle defect is koop je gewoon een nieuwe
Dus iedereen die ook 99 EUR veil heeft kan ermee verder ? Het paswoord kan je zo met een keylogger grabben. Misschien is er zelfs een oplossing voor de mensen die hun paswoord én hun dongle verloren zijn: gewoon genoeg met paypal betalen en een rescue tooltje downloaden
Om veilig te zijn zou in elk geval het paswoord nooit via je toetsenbord mogen gaan. Vb. met een pincode op het apparaatje zelf.

[RobTim]

Je hebt het verkeerd begrepen denk ik.
Niet iedereen die 99 euro (excl) heeft kan de gegevens lezen.
User name en password zijn er alleen maar om de DPK te activeren maar de passphrase is versleuteld en op een geheime plek in de xNSP processor van de DPK opgeslagen.

Ook al zou je het password van de DPK met een keylogger kunnen grabben, en zou je een nieuwe DPK kopen, dan heb je daar niets aan als je niet weet wat de encryptie-sleutel (passphrase) is. Die passphrase heeft alleen de eigenaar van de gegevens.

[ATS]

Die key kan je dus aanmaken op een systeem dat niet aan een netwerk hangt. Veel succes om daar (van buiten af) een keylogger op te krijgen.

[Roland684]

Om nog maar te zwijgen dat spyware je wachtwoord kan meelezen als je het intypt (elke keer als je toegang tot je gegevens wil hebben moet je dat nl intypen).
Een nog simpeler: laat spyware gewoon de bestanden zelf uitlezen zodra het wachtwoord is ingetypt. Waarom het wachtwoord afluisteren als je de gegevens zelf kunt afluisteren?

[The - DDD]

De passphrase is wat anders dan de key die gebruikt wordt.

De passphrase is enkel een wachtwoordje zodat iemand die de key en de computer heeft nog steeds niet zomaar de boel kan decrypten zonder de passphrase.

[RobTim]

Je kunt een systeembeheerder ook een DPK laten voorzien van een sleutel, username en password.
De gebruiker weet zo nooit welke encrypiesleutel gebruikt wordt en hoeft hem dus ook niet zelf uit te printen.

Iemand moet per slot van rekening toch passwords etc... uitgeven en beheren???

[Skyclad]

Moet...geen...grapjes...maken...over...defensie...

[Moartn82]

Ik vond die 24 karaats gouden USB stick toch leuker speelgoed dan dit. (hoewel prijs wel beter is )