Lenovo TSD303, un SSD extern cu criptare, avea o vulnerabilitate majoră în mecanismul de autentificare, potrivit unei investigații recente, care a evidențiat riscuri și la alte dispozitive de stocare.
Vulnerabilitatea criptării pe SSD-ul Lenovo TSD303
Investigația lui Xusheng Li relevă faptul că, deși datele erau criptate pe acest model, parola de autentificare era transmisă în format text simplu către computer prin USB. În timpul procesului, dispozitivul trimitea parola pentru a fi comparată cu cea introdusă de utilizator, permițând interceptarea acesteia de către eventuali interceptori ai comunicației.
Un prim patch a fost implementat după trei luni de la semnalarea problemei și a folosit un cifru bloc, cu o cheie derivată dintr-un marcaj temporal. Software-ul Lenovo putea calcula această cheie, iar analiza sa permitea drept consecință recuperarea mecanismului de protecție. Astfel, această soluție nu asigura o siguranță suficientă în situații de furt sau acces neautorizat.
La sfârșitul anului trecut, a fost lansată o actualizare ce a modificat metoda de verificare, înlocuind transmiterea parolei către computer. Acum, SSD-ul compară direct parola introdusă, fără a o transmite în vreun format convertibil.
Probleme identificate și la alte dispozitive de stocare
Analiza extinsă a relevat că vulnerabilitatea nu era limitată la modelul Lenovo. Kit-ul de dezvoltare software utilizat pentru TSD303 era utilizat și pentru alte nouă produse, provenite de la diferiți producători. Majoritatea acestor dispozitive erau susceptibile de a expune parolele în anumite condiții, iar două dintre ele păstrau datele necriptate pe carduri microSD.
Un alt rezultat al cercetării, asistată de inteligența artificială, a identificat conturi de acces ascunse în produsele unui alt producător, precum și chei de criptare introduse direct în dispozitive care erau prezentate ca fiind sigure. Numele companiilor implicate nu au fost publicate până acum.
Rezultatele arată că prezența unor elemente precum cititor de amprentă, parolă sau mențiuni precum AES-256 pe ambalaj nu asigură automat protecția datelor stocate. Siguranța unui dispozitiv de stocare depinde de modul de implementare a criptării, autentificării și gestionare a cheilor, precum și de modul în care se realizează comunicarea cu computerul.
Aceste descoperiri demonstrează importanța verificării riguroase a elementelor de securitate implementate în dispozitivele moderne de stocare.
