Фахівець з інформаційної безпеки Сюшен Лі під час конференції розповів про результати аналізу популярних захищених накопичувачів. Зокрема, модель Lenovo ThinkPlus FU100, яка продавалася як пристрій із шифруванням AES-256 для захисту конфіденційних даних, виявилася звичайною SD-картою всередині брендового корпусу. З’ясувалося, що сканер відбитків пальців лише розблоковував USB-з’єднання, тоді як файли на самій карті ніяк не шифрувалися, що робить доступ до них тривіальним за наявності фізичного доступу.
Аналіз оригінального пристрою проводився раніше, після чого компанія запропонувала кілька оновлень і виправлень. Оновлення прошивки для моделей FU100, FU200, TU800 та твердотільного накопичувача TSD303 вимагали від власників звертатися до сервісної служби, відправляти пристрої назад або чекати на виїзд фахівців. Lenovo оцінила цю вразливість як критичну, оскільки конфігураційне програмне забезпечення дозволяло локальному користувачеві обходити автентифікацію та реєструвати невідомі відбитки.
Окрему проблему виявили в зовнішньому SSD TSD303. Хоча його дані справді шифрувалися, накопичувач передавав правильний пароль через USB у незашифрованому вигляді для перевірки програмою, що дозволяло легко перехопити дані. Пізніші патчі від виробника змінили логіку роботи так, що пристрій почав самостійно перевіряти введений пароль.
Використання штучного інтелекту для зворотного проєктування захисного софту стає дедалі популярнішим серед дослідників. За допомогою інструментів на основі ШІ вдалося швидко виявити вразливі місця, вбудовані ключі та незахищені коди в програмах інших виробників накопичувачів та захисного софту, таких як Netac, KakaSoft та Nexcopy. В окремих випадках дослідники знаходили приховані бекдори з простими паролями.
На думку Лі, клієнтська перевірка та апаратна безпека у подібних комерційних пристроях часто виявляються лише маркетинговим інструментом. Дослідник не попереджав деяких розробників заздалегідь, зазначаючи, що випущені на ринок пристрої вкрай складно оновити чи відкликати, тому користувачам варто критично ставитися до заяв виробників про захист.
Джерела: tomshardware.com
