Wielu użytkowników kupuje nośniki ze skanerem linii papilarnych, myśląc, iż inwestuje w swoje bezpieczeństwo. Ostatnie odkrycie badaczy ds. cyberbezpieczeństwa pokazuje jednak, iż obietnice producentów bywają wyłącznie chwytem marketingowym. Popularny model Lenovo ThinkPlus FU100, który miał działać jako bezpieczny szyfrowany pendrive z kodowaniem AES-256, w rzeczywistości skrywa w środku zwykłą, nieszyfrowaną kartę pamięci.
Skaner linii papilarnych jako zwykły włącznik zasilania
Jak wykazał badacz Xusheng Li podczas wystąpienia na konferencji naukowej, czytnik linii papilarnych w modelu FU100 pełni jedynie funkcję fizycznego przełącznika zasilania w porcie USB. Urządzenie w żaden sposób nie koduje plików zapisanych na nośniku. Nieproszony właściciel takiego pendrive’a musi jedynie rozebrać plastikową obudowę, wyjąć kartę microSD ze środka i włożyć ją do dowolnego czytnika kart, aby od razu uzyskać dostęp do wszystkich plików.
Problem dotyczy również innych urządzeń tej firmy np. dysku SSD TSD303. W tym przypadku aplikacja przesyłała poprawne hasło użytkownika przez port USB w postaci zwykłego, niezaszyfrowanego tekstu. Producent zakwalifikował tę lukę jako krytyczną. Wymaga od klientów kontaktu z infolinią oraz odesłania sprzętu do wymiany lub aktualizacji systemu u serwisanta.
Szyfrowany pendrive wcale nie musi być bezpieczny / źródło zdjęcia: unsplash (@sandisk)Dlaczego zwykły szyfrowany pendrive z programem nie gwarantuje ochrony?
Podczas dalszych badań badacz użył narzędzi wspomaganych przez sztuczną inteligencję (model OpenAI Codex), aby przeanalizować rozwiązania innych popularnych dostawców. Algorytmy sztucznej inteligencji potrzebowały zaledwie od 7 do 26 minut, aby złamać zabezpieczenia systemu firm Netac, KakaSoft czy Nexcopy. W przypadku produktów marki SecZure wykryto z kolei fabrycznie ukryte konta ze bardzo prostymi hasłami.
Analiza wyraźnie pokazuje, iż weryfikacja haseł wyłącznie po stronie programu na komputerze zawsze stwarza ryzyko wycieku. Prawdziwie szyfrowany pendrive musi kodować pliki bezpośrednio na kontrolerze sprzętowym, generując klucz wyłącznie na podstawie wpisanego przez użytkownika hasła.
Źródło tekstu: Tom’s Hardware / Zdjęcie otwierające: unsplash (@barryalbert24)
