Μια ομάδα από τρεις ερευνητές ασφάλειας καταρρίπτουν τους μύθους γύρω από τους γνωστούς Western Digital My Passport σκληρούς δίσκους, που διαφημίζονται για την παροχή κρυπτογράφησης on-the-fly για όλα τα αποθηκευμένα δεδομένα.
Για μερικά χρόνια, οι άνθρωποι που ήθελαν ιδιωτικότητα και ασφάλεια συχνά επέλεγαν για φορητό σκληρό δίσκο τον Western Digital My Passport. Αυτή η συσκευή δεν είναι μόνο αρκετά μικρή, με καλή εμφάνιση και γεμάτη δυνατότητες, αλλά παρέχει επίσης ενσωματωμένα χαρακτηριστικά ασφαλείας, τόσο για το λογισμικό όσο και για τα hardware κομμάτια του.
Μερικά από τα δύο πιο σημαντικά χαρακτηριστικά του ήταν το γεγονός ότι οι χρήστες θα μπορούσαν να προστατεύσουν τον σκληρό τους δίσκο χρησιμοποιώντας έναν κωδικό πρόσβασης και ότι όλα τα δεδομένα που γράφονται στους δίσκους αυτούς ήταν κρυπτογραφημένα σε πραγματικό χρόνο.
Σύμφωνα με πρόσφατη έρευνα σχετικά με την εσωτερική λειτουργία των διαφόρων μοντέλων My Passport, οι σκληροί δίσκοι φαίνονται να περιέχουν μια σειρά από κενά ασφαλείας που επιτρέπουν στους επιτιθέμενους να παρακάμψουν τόσο την ενσωματωμένη κρυπτογράφηση όσο και τον κωδικό πρόσβασης με βάση το σύστημα ελέγχου ταυτότητας.
Όπως εξηγούν οι ερευνητές, ορισμένα από τα μοντέλα από τα έξι που αναλύθηκαν παραιτήθηκαν εύκολα μετά από μια απλή επίθεση brute-force, επιτρέποντας έτσι στον επιτιθέμενο να σπάσει την κρυπτογράφηση τους.
Επιπλέον, ο έλεγχος κωδικού πρόσβασης θα μπορούσε επίσης εύκολα να παρακαμφθεί, επιτρέποντας σε κάθε εισβολέα να εγκαταστήσει πλήρως λειτουργικές κερκόπορτες για μολυσμένες συσκευές.
Καθώς το σενάριο χειροτερεύει, όλα τα WD μοντέλα που αναλύθηκαν επέτρεψαν στους επιτιθέμενους να αναλάβουν τον μηχανισμό firmware update μέσω των επιθέσεων «evil maid» και «badUSB» και να εγκαταστήσουν τον δικό τους κακόβουλο κώδικα.
«Το πιο αδύναμο μοντέλο από την άποψη της ασφάλειας είναι το INIC-3 608 bridge», λένε οι ερευνητές. «Το τσιπ δεν υποστηρίζει hardware accelerated AES κρυπτογράφηση. […] Μια μοναδική εντολή που αποστέλλεται στη συσκευή θα αποκαλύψει το ΚΕΚ [Key-Encrypting Key], ακόμη και αν ο δίσκος είναι σε κατάσταση κλειδώματος.»
Από την πλευρά της η Western Digital λέει ότι ήδη ψάχνει ορισμένα θέματα ασφαλείας.
