Windows-lek maakte ontsleutelen BitLocker mogelijk
Een beveiligingslek in Windows dat Microsoft deze maand patchte maakte het in bepaalde gevallen voor aanvallers mogelijk om harde schijven die met BitLocker waren versleuteld te ontsleutelen. BitLocker is de encryptiesoftware van Microsoft die op bepaalde versies van Windows aanwezig is.
Om toegang tot versleutelde harde schijven te krijgen zijn er verschillende opties, zoals het gebruik van een pincode, usb-sleutel of Trusted Platform Module (TPM). In Windows bevond zich echter een kwetsbaarheid waardoor een aanvaller de Kerberos-authenticatie kon omzeilen en op aangevallen computers de door BitLocker versleutelde harde schijven kon ontsleutelen.
In het geval van de nu verholpen kwetsbaarheid kon een aanvaller hier alleen misbruik van maken als het aangevallen systeem BitLocker zonder pincode of usb-sleutel gebruikte, de computer zich in een domein bevond én de aanvaller fysieke toegang tot de machine had. Volgens Microsoft zijn er geen gevallen bekend waarbij de kwetsbaarheid ook daadwerkelijk is aangevallen. Om het probleem op te lossen is Microsoft Security Bulletin MS15-122 verschenen.
The following mitigating factors may be helpful in your situation:
- This bypass can be exploited only if the target system has BitLocker enabled without a PIN or USB key.
- A domain user must be logged on to the target machine for the attack to succeed.
Hoewel ik geen fan ben van Bitlocker (zie https://www.security.nl/posting/408404/Juridische+vraag%3A+mag+je+encryptiesoftware+zonder+vergunning+aanbieden%3F#posting408486) lijkt met name dat tweede punt een verzachtende omstandigheid. Die geldt natuurlijk alleen als een aanvaller, die het device fysiek in handen gekregen heeft, geen wachtwoord of USB sleutel nodig heeft om de schijf te decrypten (ik weet niet hoe Bitlocker, bij volledige schrijfversleuteling, omgaat met wakker worden uit hibernation of sleep mode).
M.a.w. als je het device altijd uitzet middels "shut down", en vervolgens om te kunnen booten een fatsoenlijk wachtwoord in moet voeren, ben je kennelijk niet kwetsbaar voor dit "lek".
Nb. dit lek toont wel aan hoe belachelijk het advies in http://blogs.technet.com/b/askpfeplat/archive/2014/07/14/bitlocker-pin-on-surface-pro-3-and-other-tablets.aspx is om op tablets met Bitlocker geen pre-boot pincode te gebruiken. Het ding start dan, ook in de handen van een aanvaller, meteen op waarmee het aanvalsoppervlak aanzienlijk is vergroot. Dit soort lekken geven vervolgens toegang tot de op tablet opgeslagen informatie, en waarschijnlijk ook tot via gebruiker-accounts op servers/in cloud opgeslagen informatie.
Ik ben benieuwd hoe lang het duurt voordat Microsoft laatstgenoemde blog-post verwijdert.
Niet standaard, het is 1 van de opties die Windows aanbied. Wellicht kun je je er iets meer in verdiepen voordat je claims maakt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?