Lekken in harde schijven Seagate en Western Digital onthuld
Onderzoekers hebben kwetsbaarheden in de harde schijven van zowel Seagate als Western Digital onthuld waarvoor nog geen updates beschikbaar zijn. Eric Windisch vond meerdere kwetsbaarheden in de Seagate Central NAS, een oplossing voor netwerkgebaseerde opslag.
Zo blijkt dat firmware-updates kwetsbaar voor een man-in-the-middle-aanval zijn, aangezien ze over HTTP worden aangeboden en niet gesigneerd zijn. Daardoor kan een aanvaller die zich tussen de gebruiker en het internet bevindt kwaadaardige firmware installeren. Verder blijkt het apparaat via een phpinfo-pagina informatie aan ongeautoriseerde gebruikers informatie te lekken.
Ook kunnen gebruikers elkaars bestanden aanpassen, wordt er een algemeen root-wachtwoord gebruikt dat world-readable is, maakt de webapplicatie ongeautoriseerde aanpassing van IP-adres en hostnaam mogelijk en kunnen lokale gebruikers hun rechten op de NAS verhogen. Windisch informeerde Seagate twee keer, maar kreeg geen reactie. Daarom heeft hij besloten zijn bevindingen te publiceren.
Western Digital
In het geval van Western Digital werden verschillende modellen in de My Passport-serie onderzocht die zichzelf kunnen versleutelen. De Western Digital My Passport is een externe harde schijf die bij bepaalde modellen hardwarematige encryptie aanbiedt. Problemen met het lekken van informatie uit het geheugen, zwakke encryptiesleutels en zelfs backdoors op sommige schijven maken het voor een aanvaller mogelijk om gegevens van gebruikers zonder wachtwoord te onsleutelen, aldus de onderzoekers in hun rapport (pdf).
Zo blijken de harde schijven met een standaardwachtwoord te worden geleverd. In gevallen de gebruiker het wachtwoord wijzigt en dit één keer doet, blijft de sleutel van het standaardwachtwoord op de harde schijf achter. Daardoor is het eenvoudig voor een aanvaller om de harde schijf te ontsleutelen. Het probleem is te verhelpen door het wachtwoord een tweede keer te resetten, maar dit is waarschijnlijk bij gebruikers niet bekend. Western Digital is door de onderzoekers ingelicht, maar heeft nog geen oplossing uitgebracht.
Nee.
De key van de encryptie moet ergens leesbaar bewaard worden. En het keyword, op zichzelf betekend ook dat de key in zichzelf bewaard wordt.
Beetje naief als je uberhaupt dacht dat het opeens veilig was...
FreeNAS op een MS azure cloud is dan al stukken veiliger.
Commerciële opslag producten hebben altijd wel bugs waardoor derden toegang kunnen krijgen. Het zou vreemd zijn als ze dat niet hadden; dan zou namelijk alleen de eigenaar toegang tot de data hebben.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?