Lekken in harde schijven Seagate en Western Digital onthuld
Onderzoekers hebben kwetsbaarheden in de harde schijven van zowel Seagate als Western Digital onthuld waarvoor nog geen updates beschikbaar zijn. Eric Windisch vond meerdere kwetsbaarheden in de Seagate Central NAS, een oplossing voor netwerkgebaseerde opslag.
Zo blijkt dat firmware-updates kwetsbaar voor een man-in-the-middle-aanval zijn, aangezien ze over HTTP worden aangeboden en niet gesigneerd zijn. Daardoor kan een aanvaller die zich tussen de gebruiker en het internet bevindt kwaadaardige firmware installeren. Verder blijkt het apparaat via een phpinfo-pagina informatie aan ongeautoriseerde gebruikers informatie te lekken.
Ook kunnen gebruikers elkaars bestanden aanpassen, wordt er een algemeen root-wachtwoord gebruikt dat world-readable is, maakt de webapplicatie ongeautoriseerde aanpassing van IP-adres en hostnaam mogelijk en kunnen lokale gebruikers hun rechten op de NAS verhogen. Windisch informeerde Seagate twee keer, maar kreeg geen reactie. Daarom heeft hij besloten zijn bevindingen te publiceren.
Western Digital
In het geval van Western Digital werden verschillende modellen in de My Passport-serie onderzocht die zichzelf kunnen versleutelen. De Western Digital My Passport is een externe harde schijf die bij bepaalde modellen hardwarematige encryptie aanbiedt. Problemen met het lekken van informatie uit het geheugen, zwakke encryptiesleutels en zelfs backdoors op sommige schijven maken het voor een aanvaller mogelijk om gegevens van gebruikers zonder wachtwoord te onsleutelen, aldus de onderzoekers in hun rapport (pdf).
Zo blijken de harde schijven met een standaardwachtwoord te worden geleverd. In gevallen de gebruiker het wachtwoord wijzigt en dit één keer doet, blijft de sleutel van het standaardwachtwoord op de harde schijf achter. Daardoor is het eenvoudig voor een aanvaller om de harde schijf te ontsleutelen. Het probleem is te verhelpen door het wachtwoord een tweede keer te resetten, maar dit is waarschijnlijk bij gebruikers niet bekend. Western Digital is door de onderzoekers ingelicht, maar heeft nog geen oplossing uitgebracht.
Nee.
De key van de encryptie moet ergens leesbaar bewaard worden. En het keyword, op zichzelf betekend ook dat de key in zichzelf bewaard wordt.
Beetje naief als je uberhaupt dacht dat het opeens veilig was...
FreeNAS op een MS azure cloud is dan al stukken veiliger.
Commerciële opslag producten hebben altijd wel bugs waardoor derden toegang kunnen krijgen. Het zou vreemd zijn als ze dat niet hadden; dan zou namelijk alleen de eigenaar toegang tot de data hebben.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
