Daten von einigen selbstverschlüsselnden SSDs ohne Passwort einsehbar

Sicherheitsforscher zeigen auf, dass die Verschlüsselungsmechanismen bestimmter SSD-Modelle von Crucial und Samsung Daten nicht verlässlich schützen.

Aufgrund von Schwachstellen in einigen selbstverschlüsselnden internen und externen SSDs von Crucial und Samsung könnten Angreifer ohne ein Passwort oder einen Schlüssel zu kennen die Verschlüsselung komplett umgehen und Daten einsehen.

Den Entdeckern der Lücken (CVE-2018-12037, CVE-2018-12038) von der niederländischen Radboud University zufolge gibt es bereits erste Sicherheitsupdates, weitere Patches seien in Arbeit.

Konkret betroffen sollen die internen Modelle MX100, MX200 und MX300 von Crucial und 840 EVO und 850 EVO von Samsung sein. Auch die externen USB-SDDs T3 und T5 von Samsung sollen angreifbar sein. Die Sicherheitsforscher betonen, dass noch weitere Modelle, auch von anderen Herstellern, bedroht sein könnten.

Für eine erfolgreiche Attacke benötigt ein Angreifer aber physischen Zugriff auf einen gefährdeten Datenträger. Das ist beispielsweise der Fall, wenn man seinen Laptop unbeaufsichtigt in einem Hotelzimmer liegen lässt und sich jemand daran zu schaffen macht (Evil-Maid-Attacke).

In Rechenzentren mit sensiblen Daten ist es in der Regel schwieriger, physischen Zugriff auf Computer zu bekommen. Ist das nichtsdestotrotz gegeben, müsste ein Angreifer über den Debug-Port einer betroffenen SSD eine manipulierte Firmware installieren, um die Passwortabfrage zu umgehen.

Das Problem ist, dass die SSDs den Schlüssel für die Daten (Data Encryption Key, DEK) kryptografisch nicht aus dem Passwort des Nutzers ableiten. Die Firmware der SSD darf Daten nur mit dem DEK entschlüsseln, wenn das eingegebene Passwort korrekt ist – eigentlich. Eigenen Angaben zufolge konnten die Sicherheitsforscher die Firmware so manipulieren, dass die Passwort-Abfrage alle Eingaben akzeptiert, damit der DEK zum Einsatz kommt.

Außerdem konnten die Sicherheitsforscher das Master-Password-Capability-Bit im RAM ändern. Anschließend waren sie in der Lage, Daten ohne die Eingabe von irgendwelchen Zeichen in das Passwortfeld (empty string) zu entschlüsseln.

Um Daten auf den betroffenen SSD-Modellen effektiver zu schützen, raten die Sicherheitsforscher zum Einsatz von zusätzlicher Software-Verschlüsselung einer gesamten Festplatte. Das kann man beispielsweise unter Windows mit dem in den Enterprise- und Pro-Versionen enthaltenen Verschlüsselungslösung Bitlocker machen.

2018-11-06T15:16:56+00:00