Twee-factor authenticatie voor TrueCrypt
De Belgische beveiligingsonderzoeker Didier Stevens heeft een manier gevonden om het populaire encryptieprogramma TrueCrypt van twee-factor authenticatie te voorzien. TrueCrypt is een gratis programma waarmee het zeer eenvoudig is om harde schijven, USB-sticks, laptops en computers volledig te versleutelen. Bij het starten van de computer moet in dit geval een passphrase worden opgegeven voordat het versleutelde besturingssysteem toegankelijk wordt.
De passphrase die gebruikers invoeren is niet de sleutel, maar wordt gebruikt om de mastersleutel te ontsleutelen die zich in de volume header op de harde schijf bevindt. Als de header beschadigd raakt, is het niet meer mogelijk om de versleutelde harde schijf te ontsleutelen, zelfs als het correcte wachtwoord wordt ingevoerd. Voor dit soort scenario's laat TrueCrypt de gebruiker een rescue-disk maken, waar een back-up van de volume header op staat.
Douane
Stevens besloot om volume header met opzet van de harde schijf te verwijderen. Alleen via de rescue disk is het daardoor mogelijk om de laptop te starten. "Je kunt zeggen dat ik een TrueCrypt schijf heb gemaakt die twee-factor authenticatie vereist." Om de schijf te ontsleutelen heeft de gebruiker twee zaken nodig: het wachtwoord en de bijbehorende rescue disk.
De Belgische onderzoeker merkt op dat de methode alleen voor reizigers is bedoeld, die 100% zeker willen zijn dat de schijf niet tijdens het transport te ontsleutelen is. Stevens benadrukt dat reizigers in dit geval de twee factoren niet bij zich moeten dragen, maar de rescue disk via een ander kanaal laten versturen. In de Verenigde Staten bijvoorbeeld, mag de douane zonder opgaaf van reden de inhoud van computers inspecteren.
USB-stick
Eerder kwam onderzoeker Mike Cardwell al met een oplossing om de boot partitie en bootloader op een waterdichte USB-stick te zetten. Deze stick draagt Cardwell altijd bij zich. Om het systeem te starten boot hij vanaf de USB-stick. Dit zou moeten voorkomen dat er een 'evil maid attack' op de versleutelde laptop wordt uitgevoerd, waarbij een aanvaller een keylogger installeert die de Truecrypt passphrase onderschept.
Maar wanneer je windows laptop geboot is en dan gehackt wordt (via wat voor manier dan ook; malware, verouderde software etc.) dan ben je alsnog de klos. Des al niet te min een betere manier om in ieder geval wanneer je systeem uitstaat redelijk dicht te hebben.
Uit de TrueCrypt documentatie: "Note: Keyfiles are currently not supported for system encryption."
delen van je harddisk. Deze vervolgens vernietigd. En dat je die delen dan weer zou
kunnen terugzetten met je backup op USB-stick.
Zitten we dan op 3-factor ? :)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
