搜索

[9462] 2015-10-22_西部数据（WD）自加密硬盘被曝存在漏洞

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2015-10-22_西部数据（WD）自加密硬盘被曝存在漏洞 西 部 数 据 （ W D ） 自 加 密 硬 盘 被 曝 存 在 漏 洞 F r e e B u f   2 0 1 5 - 1 0 - 2 2 研 究 人 员 称 ， 有 数 个 版 本 加 密 西 部 数 据 硬 盘 存 在 许 多 的 漏 洞 ， 黑 客 一 旦 获 取 到 了 物 理 接 触 的 机 会 ， 就 能 轻 松 获 取 里 面 的 数 据 ， 在 这 期 间 可 以 无 视 硬 盘 的 密 码 。 西 部 数 据 硬 盘 的 自 加 密 西 部 数 据 硬 盘 的 自 加 密 上 述 的 那 篇 论 文 称 为 “ 也 谈 西 部 数 据 硬 盘 加 密 - - 自 加 密 盘 安 全 系 列 ” ， 里 面 列 举 了 一 系 列 西 部 数 据 M y   P a s s p o r t 和 M y   B o o k 版 本 硬 盘 的 漏 洞 。 黑 客 利 用 这 些 漏 洞 ， 可 以 在 窃 取 一 个 存 在 漏 洞 的 硬 盘 后 ， 对 其 里 面 的 内 容 进 行 解 密 ， 无 论 密 码 有 多 随 机 、 冗 长 。 而 这 系 列 硬 盘 产 品 的 本 意 为 通 过 自 带 加 密 硬 盘 上 所 有 数 据 的 功 能 ， 让 用 户 不 必 费 时 费 力 去 使 用 软 件 来 加 密 硬 盘 。 许 多 硬 盘 都 会 使 用 U S B 接 口 连 接 到 电 脑 S A T A 接 口 去 解 密 加 密 数 据 ， 在 用 户 输 入 正 确 的 密 码 之 前 ， 接 口 应 该 是 被 锁 住 的 。 为 了 防 止 黑 客 至 少 每 秒 数 十 亿 次 的 猜 测 尝 试 ， 最 初 的 纯 文 本 密 码 是 加 盐 后 并 进 行 1 0 0 0 次 S H A 2 5 6   h a s h 迭 代 加 密 的 。 千 里 之 堤 溃 于 蚁 穴 千 里 之 堤 溃 于 蚁 穴 即 使 开 发 者 已 经 很 用 心 ， 但 由 于 一 个 小 漏 洞 的 存 在 ， 导 致 黑 客 可 以 很 短 的 时 间 内 破 解 密 码 。 在 某 个 案 例 中 ， 底 层 的 K E Y 是 可 以 预 测 的 ， 因 为 它 是 来 自 于 当 前 计 算 机 时 间 生 成 的 的 随 机 数 。 这 个 漏 洞 在 去 年 被 修 复 了 ， 但 市 面 上 仍 然 存 在 大 量 硬 盘 还 有 漏 洞 。 在 某 些 情 况 下 ， 黑 客 可 以 提 取 硬 盘 的 h a s h 到 另 一 个 计 算 机 中 ， 以 便 进 行 离 线 破 解 。 接 下 来 我 们 要 谈 的 另 一 个 漏 洞 ， 就 相 当 于 一 个 后 门 了 。 有 了 它 ， 黑 客 在 不 知 道 密 码 的 情 况 下 ， 就 可 以 解 密 用 户 的 数 据 。 存 在 漏 洞 的 每 个 硬 盘 都 有 一 个 默 认 密 码 ， 即 使 用 户 重 置 密 码 后 ， 原 默 认 密 码 的 k e y 仍 然 存 储 在 设 备 上 ， 黑 客 能 借 此 轻 松 将 硬 盘 解 密 。 当 然 ， 也 有 解 决 的 办 法 ， 用 户 两 次 重 置 密 码 后 就 能 解 决 这 个 问 题 ， 但 谁 又 有 这 个 闲 工 夫 把 刚 买 不 久 的 硬 盘 重 置 两 次 呢 ？ 除 非 是 健 忘 者 罢 了 。 这 篇 3 6 页 的 论 文 P D F 提 出 了 设 备 内 置 加 密 的 可 靠 性 的 讨 论 ， 读 者 想 要 确 保 加 密 安 全 ， 也 许 还 是 得 依 靠 第 三 方 的 专 业 加 密 。 虽 然 这 些 加 密 不 一 定 完 美 ， 但 至 少 他 们 历 时 更 久 ， 经 历 了 更 多 的 考 验 和 风 雨 。 * 参 考 来 源 ： A R ， 编 译 / d a w n e r ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理