Исследователь в области безопасности Сюшэн Ли обнаружил, что USB-накопитель Lenovo ThinkPlus FU100 с функцией сканирования отпечатков пальцев, продававшийся как устройство с шифрованием AES-256 для защиты данных, на самом деле оказался обычной SD-картой. Об этом сообщает издание HackingPassion. Сканер отпечатков пальцев лишь активировал USB-соединение, а данные на карте никак не шифровались. Позднее с помощью ИИ были обнаружены так называемые «учетные записи с бэкдором» на накопителе другого производителя, а также жестко закодированные ключи в других якобы защищенных USB-устройствах хранения данных.
«FU100 — это просто SD-карта в красивом корпусе», — заявил Ли на мартовской конференции. В результате любой, кто получит физический доступ к устройству, сможет легко получить доступ к данным. Один из его выводов: «Аппаратная безопасность» может быть чистым маркетингом. Это не первый случай, когда собственное шифрование производителей накопителей дает сбой, и, вероятно, не последний.
Первоначальный анализ ThinkPlus FU100 проводился в прошлом году, с временным решением в виде эпоксидной заливки карты. Более позднее исправление от Lenovo, выпущенное в начале этого года для накопителей FU100, FU200 и TU800, а также SSD TSD303, требует от владельцев звонка в китайскую службу поддержки, после чего устройства либо отправляются на замену, либо получают обновление прошивки на месте. Lenovo советует сначала сделать резервную копию данных и настоятельно рекомендует стереть накопитель перед отправкой, что доставляет немало неудобств. Lenovo оценила серьезность уведомления как высокую, и один из трех его CVE касается конфигурационного программного обеспечения, которое может позволить локальному вошедшему в систему пользователю обойти аутентификацию устройства и зарегистрировать недоверенный отпечаток пальца.
То же исследование выявило другой недостаток во внешнем SSD-накопителе Lenovo TSD303. Его данные действительно шифровались, но накопитель передавал правильный пароль через USB в открытом виде для сравнения программой, что облегчало его перехват. Первое исправление появилось через три месяца после первоначального отчета, с использованием блочного шифрования с ключом, полученным из значения, похожего на временную метку. Программное обеспечение Lenovo могло получить этот ключ, а первое исправление программного обеспечения уязвимо при разборке, что делает его бесполезным для защиты данных в случае кражи устройства. Более позднее исправление, в конце прошлого года, предусматривает, что накопитель сам проверяет введенный пароль, поэтому правильный пароль никогда не покидает устройство.
Тот же комплект разработчика программного обеспечения, который использовался для накопителя, охватывал еще девять устройств от нескольких поставщиков, большинство из которых также могли раскрыть пароли опытному злоумышленнику. Кроме того, два устройства оставляли данные незашифрованными на карте microSD. Полный список поставщиков был скрыт на слайдах Ли.
Использование ИИ-агентов для инструментов обратной инженерии продолжает расти. ИИ также все чаще выявляет уязвимости безопасности. Ли использовал Codex от OpenAI, инструмент, ориентированный на программирование с помощью ИИ, вместе с инструментом обратной инженерии своего работодателя против схем защиты других поставщиков. Инструмент Netac был взломан примерно за семь минут, поскольку Codex обнаружил встроенный в программу фиксированный ключ, а также пароль пользователя, записанный в диагностические журналы.
Защита от копирования отличается от прямого доступа, поскольку ее цель — позволить получателю просматривать файлы, но не создавать их копии. USB Copy Protection от KakaSoft имеет внутренний пароль, который программа создает сама; Codex восстановил его для расшифровки тестового файла без пароля пользователя примерно за 26 минут. Copy Secure от Nexcopy занял около 10 минут, его ключ был разблокирован сертификатом, встроенным в приложение для просмотра. Отдельно SecZure YutianDun имеет две скрытые учетные записи «бэкдора» с простыми паролями, обнаруженные с помощью отладки с путешествием во времени, просматривая трассировку временной шкалы. Однако комментарии Ли предполагают, что злонамеренный умысел не следует предполагать.
Ли не предупредил KakaSoft, Nexcopy или SecZure, утверждая, что накопитель, уже находящийся в руках злоумышленника, не может быть легко отозван или обновлен. Он заявил, что «клиентская валидация никогда не бывает безопасной» и всегда следует самостоятельно проверять заявления о безопасности. У Netac не было исправления на момент мартовского выступления Ли. Пример правильного подхода — это USB-накопитель с открытым исходным кодом, который правильно реализует шифрование, даже если он построен на базе microSD-карты, получая ключ из пароля пользователя, так что простое чтение карты ничего не даст злоумышленнику.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shane Downing
