🔐 Почему криптофлешки — хрень по сути.

Всем привет. Сегодня я напишу немного текста про такую штуку, как «секурно защищённые» крипто-флешки. Иногда у некоторых людей, озадачившихся вопросами безопасного хранения чувствительных данных, возникает вопрос, что же применить.

Я в этих случаях однозначно рекомендую криптоконтейнеры, имеющие опенсурсную реализацию. Линуксовый dm-crypt (1, 2, 3) (cryptsetup, luks), TrueCrypt, PGP Disk, FreeOTFE или что-то подобное. Но это софтварные решения, они завязаны на соотвествующий софт. И вот тут возникает желание использовать что-то аппаратное, чтобы отвязаться от софта.

Идея кажется разумной, но … нет ни одной опенсурсной реализации такой затеи. Была попытка унифицировать подобное с помощью IEEE 1667, но поскольку генератором и автором идеи был микрософт, это так и не взлетело по сути.

И тут на рынке появляются типа «аппаратно зашифрованные» флешки — чуть более толстые поделия с кнопочками ввода пин-кода или даже сканером отпечатка пальца. Некоторые истово верующие в силу биометрии почему-то вообще считают это верхом защищённости, хотя это очень и очень далеко от истины.

Один раз я услышал вообще мега-эпичный аргумент в защиту такого рода девайсов: «мне знакомые из ФСБ сказали, что это надёжно, их контора не смогла вскрыть.» Ага, так они и раскрыли «по дружбе» свои ключевые слабости и немощи в области криптографии, которые обычно вообще-то очень-очень охраняемая суровая гостайна, так что верьте-верьте фсб-шникам на слово в таких вопросах 😀

Я всегда был и буду против подобных поделий, пока их разработчики не начнут выкладывать исходники прошивок в открытый доступ для публичного анализа.

Не верите мне ? Ну сравните рекламное описание любой такой «крипто-флешки» с ключевыми признаками шарлатанства от гуру — Брюса Шнайдера:

http://www.int.spb.ru/blog/hanaanskiy-balzam/

Эти «признаки ханаанского бальзама» полезно держать в уме, когда вы услышите про очередное криптографическое чудо.

Казалось бы, вот такая хорошая идея криптофлешки — и до сих пор ни одной опенсурсной реализации ? Да как так то ?!

А причина в том, что для таких систем самое важное — ДОВЕРИЕ, и ПРОВЕРЯЕМОСТЬ. Да, опенсурность сама по себе не гарантирует отсутствие слабостей, дыр, слабых ключей или чего-то подобного, но делает в принципе возможными анализ и проверку качества.

Закрытое же решение, особенно прошитое внутри микроконтроллера — почти невозможно проверить. Где гарантии, что в микропрошивку не добавлено бэкдоров ? Допустим, даже производитель использовал чип, умеющий настоящий AES или GOST. Где гарантии, что мастер-ключ не сохраняется рядом в какой-нибудь служебной части внутренней памяти контроллера ? Нет таких гарантий, и нет никакого надёжного способа это проверить. Поэтому этим и не занимаются вменяемые люди.

Тут возникает идея — найти такую флешку, и отнести на изучение железячникам-реверсерам. Но это звери весьма редкие, а если ещё и в криптографию умеют — то они даже в Красной книге не упоминаются.

Зато есть второй путь — профессиональные сервисы восстановления данных.
Им приходится сталкиваться с шифрованием данных и всякой парольной защитой (ATA Security, 1667 и прочее), поскольку та или иная криптография часто применяется внутри разных накопителей для самых разных задач — от попыток спрятать служебный код и технологические режимы от конкурентов-китайцев до реализации механизмов +/- безопасного переназначения секторов в SSD.

Нашёл две ОЧЕНЬ показательных заметки от компании HardMaster.

1). https://www.hardmaster.info/articles/11-03-2014.html

Функция шифрования реализована в мосте, который выступает посредником между USB и SATA интерфейсами. Наиболее распространенными м\с-шифровальшиками являются INITIO Inic-1607E, SymWave SW6316 и JMicron JMS538S Далеко не всегда, когда вы обнаруживаете на плате (в случае дисков 2,5″ форм-фактора) или на переходнике такой мост, означает, что данные на поверхности шифрованы.

А теперь всё внимание на скриншоты. Точнее, на нижнюю половину второго скриншота. Видите одинаковые строчки ? То есть даже если там честный AES, используется он «в лоб», без дополнительных механизмов, крайне важных для дискового шифрования. И ключ там явно не пользователь задавал. То есть ремонтопригодность это понижает, шансы на восстановление данных при отказе электроники тоже, но даёт ли защиту ? И точно ли это AES, а не XOR с 16-байтовым ключом ?

Вот вы видели исходники прошивки этого МК ? Как и где он хранит ключ ? Насколько рандомно и как он генерится ? Нет ? Типа коммерческая тайна ?

См. «Предупреждающий знак № 3: Закрытая криптография». Может быть AES, а может быть и XOR. Может оказаться так, что ключ там генерится слабый и легко доступен производителю с помощью какой-нибудь недокументированной технологической команды. Вы никак это не проверите.

Поэтому и доверять этому не стоит.

А вот и нагуглилось про эти самые WD :
https://www.computerra.ru/180663/wd-hdd-have-bad-aes-implementation/
Оригинал исследования: https://eprint.iacr.org/2015/1002.pdf

Да, там местами AES (но не везде !), и с таким количеством косяков реализации, что пользоваться этим почти бессмысленно. Почитайте, порадуйтесь.

Даже AES защищает вас тогда и только тогда, когда по уму реализовано управление ключами, и ключами управляете только _ВЫ_. Тут же ключами управляет производитель по своему усмотрению.

2). https://www.hardmaster.info/articles/16-11-2015.html

Интересный девайс, который предоставляет возможности защиты пользовательской информации методом AES 256 bit шифрования попал к нам в лабораторию для восстановления информации.

А вот это вообще прекрасное:

Примечательно, что цифры 0|1, 2|3, 4|5 и т.д. для контроллера (им является PIC16F688) являются одним и тем же символом. Т.е. пароль типа 0-1-1-0 вводится так же как и 0-0-0-0 и ничем не отличается 🙂

Смотрим, что за PIC16F688 — 8-и битный микроконтроллер, 20 МГц частота, 110 руб в чип-и-дипе. В даташите слово «AES» не обнаружено.

То есть аппаратной реализации AES там нету. Вы сами-то верите, что на 20 Мгц без аппаратного ускорения можно aes-ить на современных скоростях записи на диски ?

Так вот. AES — прекрасный шифр, и он стоек ровно настолько, насколько стоек ваш ключ. А ключ у нас — пароль из максимум 10 чётных цифр, и то ещё фиг кто будет вводить 10 цифр в качестве пин-кода флешки. Да, по всем признакам реализации это именно пин-код, а не пароль и не ключ, чтобы там не утверждалось в лживой рекламе. AES в качестве ключа принимает 128 или 256 бит данных. Значит, данный пин-код либо обрабатывается прошивкой как пин-код, то есть просто сверяется с записанным значением, а реальный ключ шифрования данных хранится где-то внутри контроллера, либо дополняется до нужной длины нулями или иным паттерном.

5 кнопок, 10 символов максимум : 5^10 = 9765625 вариантов пароля. Если именно введённый пароль является ключом к данным (ключ шифрования получается из введенного значения каким-либо преобразованием), то реальный размер пространства ключей сужен с невообразимых 2^256 до совершенно ничтожной цифры — никакой AES вас уже не спасёт от более-менее оснащённого противника.

Если же это именно пин-код — то про ключи криптования вы не знаете вообще ничего. Опять же, деталей реализации нет, можно только гадать.

Учитывая контроллер, есть очень большие сомнения, что там честный AES.
Смотрим: https://habr.com/ru/company/acelab/blog/256287/

Flash контроллер: INITIO INIC 1861L
Контроллер, обрабатывающий нажатия кнопок: PIC16F688

Даташит на 1861: http://v-comp.kiev.ua/download/inic1618.pdf
Найдите там слова «AES» или «crypt»…

Всё ещё мне не верите ?
Тогда ознакомьтесь вот с этой статейкой:
https://habr.com/ru/post/339910/

Что можно сказать о задачах такого рода? Такие задачи являются отличным примером того, как такая, на первый взгляд, несущественная модификация оригинального алгоритма, как «кастомная» подстановка (которая вроде бы даже выглядит псевдослучайной, даже более того – проходит некоторую часть статистических тестов NIST, см. спойлер ниже) может выродить международный стандарт шифрования в тривиальное аффинное преобразование с известной матрицей.

Где гарантии, что в хвалёных «криптофлешках» не применено ничего подобного, даже если там таки AES ?

И давайте снова процитируем Шнайдера:

каждый может создать криптографическое средство, которое он сам не сможет взломать. Это означает, что появляется некто с благими намерениями и с новыми идеями, или по меньшей мере с идеями, о которых он никогда раньше не слышал. Он не может взломать свою систему и уверен, что он только что открыл магический эликсир, которым можно вылечить все проблемы защиты. И даже если все понимают, что магического эликсира не существует, сложность создания по-настоящему защищенных средств вместе с легкостью внесения ошибок делают плохие криптографические средства правилом, а не исключением.

Да, дополнительную небольшую страховку от утечки данных при случайной потери накопителя криптофлешки дают. И то, если вы флешку потеряли в трамвае, а не на территории Кремля, посольства или военной базы ;D

Называть же такие флешки стойким криптографически защищённым носителем не разумно, они не являются таковыми по целому ряду признаков.

Кроме того, случаи крипто-наебалова в таких поделках попадаются с завидной регулярностью.

P.S. Ещё есть странные люди, молящиеся на сертификацию, «защиту-периметра» и прочий тру-кгб-фсб-моссад-арсенал.

Тут стоит помнить ряд вещей. Первая задача сертификации в 95% случаев — отсечь конкурентов и дать выиграть вкусный и крайне профитный государственный тендер нужным людям. Задача стойкости там может вообще не стоять. Пример — разработки с отечественной криптографией, но работающие только на виндовс и иногда — только под админскими учетками. Да, там скорее всего честный духовно-скрепный ГОСТ, и он более чем годный под данные задачи, но всё остальное… не будем о грустном.

Второе — всякие трехбуквенные конторы для действительно важных вещей использовали и будут использовать одноразовые блокноты Вернама — это очень геморройно, но при правильном использовании, если агентЪ не долпайоб — абсолютно надёжно.

Ну и третье — посмотрите на пример швейцарской CryptoAG.
Если коротко и по сути — швейцарская компания продавала аппаратные шифровальные машины в кучу стран мира для посольств, вояк, дипломатов и прочего особо жирного гос-крупняка за немалый гешефт. За 100500 зелени клиенты получали девайсы с ослабленной криптографией, и вся переписка через такие убер-машинки была доступна американскому ЦРУ десятилетиями. Тех же честных инженеров, которые явно сообщали руководству о подозрительных решениях, просто максимально тихо увольняли.

Если вспомнить утечки Сноудена, то напоминаю, что опенсурсные вещи типа PGP / OTR были для амерских разведок той ещё болью в жопе, а вот сериифицированные крипто-машинки за дохулиард денег — не представляли проблем от слова совсем.

Думаю, на этом тему таких поделок можно пока что закрыть.