De bekende Amerikaanse onderzoeker Edward Felten heeft onlangs aangetoond dat de versleuteling van harde schijven minder veilig is dan algemeen verondersteld wordt. De sleutels worden tijdelijk in RAM opgeslagen en zijn daaruit op te halen met een zogenaamde Cold Boot encryption Hack. Het punt is dat de sleutels niet gelijk weg zijn na het uitschakelen van de machine, maar tot een halve minuut of meer nog in het geheugen achterblijven. Dus als je de stekker uit een machine trekt en deze weer gelijk aanzet, heb je een kans om de cryptografische sleutels uit het geheugen te vissen. Als je snel genoeg bent dan. Maar volgens de onderzoeker zijn de zoekmiddelen hiervoor de laatste tijd sterk verbeterd.

De Cold Boot Hack is natuurlijk geen wereldschokkende aanval, die dan ook weinig aandacht heeft gekregen. De meeste machines die gestolen worden, staan immers uit, of gaan uit terwijl de dief door het verbrijzelde raam stapt en naar de vluchtauto loopt. Dit geldt echter niet voor laptops: die staan vaak in hibernation. Als het goed is zal software met het inschakelen van de hibernation mode de sleutels uit het geheugen verwijderen, maar helaas, het is niet altijd goed. Dat cryptografische sleutels eenvoudig gevonden kunnen worden op een systeem is al een aantal jaren bekend. Hebben we dan het detail met hibernation gemist met z'n allen, of zo?

Het is dus tijd voor een nieuwe policy, nieuwe software en nieuwe images. Voor de meeste organisaties hoeft er buiten de beveiliging van PC's en laptops niet veel te veranderen. Of toch? Het onderzoek beschrijft namelijk aspecten die juist in andere scenario's erg nuttig kunnen zijn. In het bijzonder geldt dit voor de ontdekking dat het gebruik van kou het verval van de data in RAM tegen gaat. En dat werkgeheugen in vloeibare stikstof vrijwel eindeloos de informatie vasthoudt. Dit is goed nieuws voor forensisch onderzoekers, die een manier krijgen om het werkgeheugen van een verdachte machine te bevriezen. Letterlijk. Machines moeten onder de huidige protocollen uitgezet worden, gedetailleerd beschreven en dan vervoerd naar een veilige plek voor nader onderzoek (zoals bijvoorbeeld het NTI voorschrijft en Fox impliceert. Het nadeel hiervan is dat het werkgeheugen leeg is voordat de data op een onweerlegbare manier is veiliggesteld. Dus alles wat alleen in het geheugen zit, is weg. Iemand die een beetje handig is met computers, kan het de gemiddelde forensische onderzoeker dan ook knap moeilijk maken. Maar dat wordt een stuk minder als de onderzoeker gewapend wordt met een busje kou en nieuwe protocollen. Bovendien is sinds een tijdje duidelijk dat je met een aanval via de Firewire-poort ook het geheugen van een systeem kunt leeglepelen. Daar zou een forensisch onderzoeker ook heel gelukkig van kunnen worden. Laten we eens aanzien hoe snel de formele forensische protocollen deze nieuwe inzichten absorberen.

Een heterdaadje is bij digitaal forensisch onderzoek op dit moment onmogelijk te bewijzen. Een daad kan hooguit in meer of mindere mate aannemelijk worden gemaakt. Hierbij wordt veel gebruik gemaakt van de minder bekende features van het besturingssysteem. Daarbij zijn de meeste computer seizure guidelines volledig op Windows geënt. Helaas weten de meeste rechters en openbare aanklagers erg weinig van digitale bewijsvoering, zodat nogal wat zaken struikelen tijdens de behandeling. Zeker als de verdediging zich enigszins verdiept heeft in de materie.

Mijn tip van de week voor de bad guys: gebruik exotische besturingssystemen als NeXTstep, Warp 4 of HELIOS. En de tip voor forensische onderzoekers: werk alleen voor de verdediging.

De nieuwe manier om cryptografisch materiaal uit het RAM te halen is goed nieuws. Zeker voor de rechtstaat: de kans dat juridische dwang nodig is om de verdachte de sleutels te laten afgeven - en daarmee mee te laten werken aan de eigen veroordeling - wordt een stuk kleiner. Dit is wel weer een tegenvaller voor de protagonisten van deze omgekeerde bewijslast - het feit dat forensische onderzoekers iets zouden kunnen, maakt het niet toepassen van de nieuwe inzichten tot falen.

De onderzoeker Felten signaleert dat in het verleden wel vaker mensen op het trage dataverval in RAM gestuit waren, maar dat de beveiligingsimplicaties niet eerder onderzocht waren omdat er geen publicaties over te vinden waren - behalve een Duits artikel uit de jaren '70. Het is te hopen dat het met dit onderzoek anders loopt. Door de relatie met één specifiek beveiligingsaspect te leggen is Felten helaas wel in dezelfde valkuil getrapt. Na tien minuten was het al oud nieuws en verdwenen zijn conclusies in de vergetelheid. Of had iemand hier het bericht wel gezien?

Laten we de omissie rechtzetten: de welopgeleide en uitermate kundige lezers van dit platform kunnen vast nog meer Security implicaties van de Cold Boot Hack deze bedenken. Die overigens evenmin zullen doordringen tot de officiële handboeken, zelfs als we er een prijsvraag van maken. Ach, als we onze plaats maar kennen, nietwaar?

We kunnen er in ieder geval in onze directe omgeving ons voordeel mee doen. Nou heb ik thuis een laptop die van nature beveiligd is: je bent al gauw een kwartier aan het hannesen voordat je bij de geheugenmodules kunt en dan is het geheugen echt wel leeg. Die is af fabriek beveiligd tegen de koude aanval. Er zit alleen wel een PC-card slot in en daar kun je wel een firewire in prikken. Dan maar géén laptop meer. Ik ga bovendien mijn desktops beveiligen door de dimms met druiplijm in te pakken en de systeemkasten met superlijm dicht te kitten. Die firewire kaarten moeten er uit, helaas. Hoewel, zo lang forensisch specialisten nog in de problemen komen met iets anders dan Windows en inzichten van ná 1998, hoef ik mij helemaal niet druk te maken. CSI bestaat namelijk alleen op TV, niet in onze wondere wereld van ICT beveiliging.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter

• Wie Zwijgt Stemt Toe
  
• Een Lesje in Beveiliging
  
• Voortschrijdend Inzicht Mag Niet
  
• De Chinezen Komen Niet - Ze Zijn Er Al!
  
• Het anti-terrorismehoesje
  
• Niemand is de Baas
  
• Zin en Onzin
  
• This is Me
  
• Wat niet meet, wat niet deert
  
• De Chinezen komen, of niet natuurlijk (deel 2)
  
• Afscheid van het netwerk
  
• De Chinezen komen! Of niet, natuurlijk.
  
• Een kwakkelend dossier
  
• "Nederland is goed voorbereid"
  
• Headhunter incident
  
• Ethiek en Security
  
• De kleren van de keizer zijn dood, leve de nieuwe kleren van de keizer
  
• Over Security Architectuur
  
• Best Practices bestaan niet
  
• Unified Threat Management: dure mensen, goeie spullen?
  
• Security maturity
  
• Komt het nog wel goed
  
• Geen nieuws is goed nieuws
  
• Awareness best belangrijk
  
• Een papieren tijger in een zilveren lijstje
  
• Een goed idee is niet goed genoeg
  
• Uit de loopgraven
  
• Waarom beveiligingsbeleid faalt
  
• Groot slaat dood