Hallo, Habr! In den Kommentaren zu einem unserer stellten die Leser eine interessante Frage: „Warum braucht man einen USB-Stick mit Hardware-Verschlüsselung, wenn es TrueCrypt gibt?“, und äußerten sogar einige Bedenken hinsichtlich der Frage „Wie kann man sicherstellen, dass in der Software und der Hardware des Kingston-Laufwerks keine Hintertüren vorhanden sind?“. Wir haben diese Fragen prägnant beantwortet, aber dann beschlossen, dass das Thema eine gründliche Analyse verdient. Dazu werden wir in diesem Beitrag kommen.
Hardware-Verschlüsselung nach AES gibt es, wie auch die Software-Verschlüsselung, schon lange, aber wie schützt sie konkret wichtige Daten auf Flash-Laufwerken? Wer zertifiziert solche Laufwerke und kann man diesen Zertifizierungen vertrauen? Wer benötigt überhaupt solche „komplizierten“ USB-Sticks, wenn man kostenlose Software wie TrueCrypt oder BitLocker verwenden kann? Wie Sie sehen, wirft das im Kommentar angesprochene Thema wirklich viele Fragen auf. Lassen Sie uns versuchen, all dies zu klären.
Wie unterscheidet sich die Hardware-Verschlüsselung von der Software-Verschlüsselung?
Bei Flash-Laufwerken (sowie HDDs und SSDs) wird zur Durchführung der Hardware-Verschlüsselung ein spezieller Chip verwendet, der sich auf der Leiterplatte des Geräts befindet. In ihn ist ein Zufallszahlengenerator eingebaut, der Verschlüsselungsschlüssel erstellt. Die Daten werden automatisch verschlüsselt und sofort entschlüsselt, wenn das Benutzerpasswort eingegeben wird. In diesem Szenario ist es praktisch unmöglich, ohne Passwort auf die Daten zuzugreifen.
Bei der Verwendung von Software-Verschlüsselung wird die „Sperrung“ der Daten auf dem Laufwerk durch externe Software gewährleistet, die als kostengünstige Alternative zu hardwarebasierten Verschlüsselungsmethoden fungiert. Die Nachteile solcher Software können in der einfachen Notwendigkeit von regelmäßigen Updates bestehen, um eine Widerstandsfähigkeit gegenüber ständig verbesserten Angriffsmethoden zu bieten. Außerdem werden für die Entschlüsselung der Daten die Leistungen des Computerprozesses (und nicht eines speziellen Hardware-Chips) genutzt, und letztlich bestimmt das Sicherheitsniveau des PCs das Sicherheitsniveau des Laufwerks.
Das Hauptmerkmal von Speichern mit Hardware-Verschlüsselung besteht in einem separaten kryptografischen Prozess. Das Vorhandensein dieses Prozessors zeigt uns, dass die Verschlüsselungsschlüssel den USB-Speicher niemals verlassen, im Gegensatz zu Software-Schlüsseln, die vorübergehend im Arbeitsspeicher des Computers oder auf der Festplatte gespeichert werden können. Da die Software-Verschlüsselung den PC-Speicher zur Speicherung der Anzahl der Anmeldeversuche nutzt, kann sie Brute-Force-Angriffe auf das Passwort oder den Schlüssel nicht stoppen. Der Zähler für Anmeldeversuche kann von einem Angreifer ständig zurückgesetzt werden, bis das Programm zur automatischen Passwortknacker die erforderliche Kombination findet.
Übrigens…, in den Kommentaren zu dem Artikel “” haben die Benutzer auch darauf hingewiesen, dass beispielsweise das Programm TrueCrypt einen portablen Betriebsmodus hat. Das ist jedoch kein großes Vorteil. Der Grund ist, dass in diesem Fall das Verschlüsselungsprogramm im Speicher des USB-Sticks gespeichert wird, was es anfälliger für Angriffe macht.
Zusammenfassend lässt sich sagen: Der Softwareansatz bietet nicht dasselbe hohe Maß an Sicherheit wie AES-Verschlüsselung. Es ist eher ein grundlegender Schutz. Andererseits ist die Software-Verschlüsselung wichtiger Daten immer noch besser als gar keine Verschlüsselung. Dieser Umstand ermöglicht es uns, diese Arten der Kryptographie klar zu unterscheiden: Hardware-Verschlüsselung für USB-Sticks ist eher eine Notwendigkeit für den Unternehmenssektor (zum Beispiel, wenn Mitarbeiter des Unternehmens USB-Sticks verwenden, die ihnen bei der Arbeit zur Verfügung gestellt werden); während die Software-Verschlüsselung besser für private Bedürfnisse geeignet ist.
Dennoch unterteilt Kingston seine Speicher-Modelle (zum Beispiel IronKey S1000) in Basic- (Basis-) und Enterprise- (Unternehmens-) Versionen. In Bezug auf Funktionen und Sicherheitsmerkmale sind sie nahezu identisch, jedoch bietet die Unternehmensversion die Möglichkeit, den Speicher mit der Software SafeConsole/IronKey EMS zu verwalten. Mit dieser Software kann das Speichergerät entweder mit Cloud- oder lokalen Servern für die Fernverwaltung von Passwortschutz- und Zugriffsrichtlinien verbunden werden. Nutzern werden dabei Wiederherstellungsmöglichkeiten für verlorene Passwörter geboten, während Administratoren die Möglichkeit haben, nicht mehr verwendete Speichergeräte auf neue Aufgaben umzustellen.
Wie funktionieren Kingston-USB-Sticks mit AES-Verschlüsselung?
Kingston verwendet eine 256-Bit-Hardwareverschlüsselung AES-XTS (unter Verwendung eines zusätzlichen vollständigen Schlüssels) für alle seine sicheren Speichergeräte. Wie bereits erwähnt, enthalten USB-Sticks in ihrer Hardware-Basis einen separaten Chip zur Verschlüsselung und Entschlüsselung von Daten, der als ständig aktiver Zufallszahlengenerator fungiert.
Wenn Sie das Gerät zum ersten Mal an einen USB-Anschluss anschließen, fordert Sie der Einrichtungsassistent auf, ein Master-Passwort für den Zugriff auf das Gerät festzulegen. Nach der Aktivierung des Speichers beginnen die Verschlüsselungsalgorithmen automatisch gemäß den Benutzerpräferenzen zu arbeiten.
Für den Benutzer bleibt das Prinzip der Funktionsweise des USB-Sticks unverändert – er kann weiterhin Dateien in den Speicher des Geräts herunterladen und ablegen, wie bei einem normalen USB-Stick. Der einzige Unterschied besteht darin, dass Sie beim Anschließen des USB-Sticks an einen neuen Computer das festgelegte Passwort eingeben müssen, um Zugriff auf Ihre Informationen zu erhalten.
Warum und für wen sind USB-Sticks mit Hardwareverschlüsselung notwendig?
Für Organisationen, in denen vertrauliche Daten Teil des Geschäfts sind (sei es Finanz-, Medizin- oder Regierungsbehörden), ist die Verschlüsselung das zuverlässigste Mittel zum Schutz. AES-Hardwareverschlüsselung ist eine skalierbare Lösung, die von Unternehmen jeglicher Größe genutzt werden kann: von Einzelpersonen und kleinen Unternehmen bis hin zu großen Konzernen sowie Militär- und Regierungsorganisationen. Betrachtet man die Thematik etwas konkreter, ist die Verwendung von verschlüsselten USB-Sticks notwendig:
- Um die Sicherheit vertraulicher Unternehmensdaten zu gewährleisten
- Zum Schutz von Kundeninformationen
- Um Unternehmen vor Verlust von Gewinn und Kundenloyalität zu schützen
Es ist erwähnenswert, dass einige Hersteller von sicheren Flash-Laufwerken (darunter auch die Firma Kingston) maßgeschneiderte Lösungen für Unternehmen anbieten, die auf die Bedürfnisse und Anforderungen der Kunden abgestimmt sind. Aber auch die Massenprodukte (wie die DataTraveler-Sticks) bewältigen ihre Aufgaben hervorragend und können Unternehmenssicherheitsklassifizierungen bieten.
1. Gewährleistung der Sicherheit vertraulicher Unternehmensdaten
Im Jahr 2017 entdeckte ein Londoner in einem Park einen USB-Stick, der ungeschützte Informationen zur Sicherheit des Flughafens Heathrow enthielt, einschließlich der Standorte von Überwachungskameras und detaillierte Informationen zu Schutzmaßnahmen bei der Ankunft hochrangiger Personen. Der Stick enthielt auch Daten zu elektronischen Zugangsberechtigungen und Zugangscodes für geschlossene Bereiche des Flughafens.
Analysten nennen als Grund für solche Vorfälle die Cyberunbildung der Mitarbeiter, die möglicherweise geheime Daten aus eigener Nachlässigkeit „preisgeben“. USB-Sticks mit Hardware-Verschlüsselung lösen dieses Problem teilweise, da der Zugriff auf die Daten eines solchen Sticks ohne das Master-Passwort des jeweiligen Sicherheitsmitarbeiters im Verlustfall nicht möglich ist. In jedem Fall ändert dies jedoch nichts daran, dass Mitarbeiter im Umgang mit USB-Sticks geschult werden müssen, auch wenn es sich um Geräte mit Verschlüsselungsschutz handelt.
2. Schutz von Kundeninformationen
Eine noch wichtigere Aufgabe für jede Organisation ist der Schutz der Kundendaten, die nicht dem Risiko einer Kompromittierung ausgesetzt werden dürfen. Diese Informationen werden häufig zwischen verschiedenen Geschäftsbereichen übermittelt und sind in der Regel vertraulich: Sie können beispielsweise Daten zu Finanztransaktionen, Krankengeschichte usw. enthalten.
3. Schutz vor Verlust von Gewinn und Kundenloyalität
Der Einsatz von USB-Geräten mit Hardware-Verschlüsselung kann helfen, verheerende Folgen für Unternehmen zu verhindern. Firmen, die gegen Datenschutzgesetze verstoßen, können mit hohen Geldstrafen belegt werden. Daher stellt sich die Frage, ob es sich lohnt, das Risiko einzugehen, Informationen ohne angemessenen Schutz auszutauschen.
Selbst wenn man die finanziellen Konsequenzen außer Acht lässt, kann die Menge an Zeit und Ressourcen, die für die Behebung von Sicherheitsfehlern aufgewendet wird, ebenso erheblich sein. Zudem riskieren Unternehmen, die Kundendaten durch Datenlecks gefährden, die Loyalität gegenüber ihrer Marke, insbesondere in Märkten, in denen Wettbewerber ähnliche Produkte oder Dienstleistungen anbieten.
Wer garantiert das Fehlen von „Backdoors“ des Herstellers bei der Verwendung von USB-Sticks mit Hardware-Verschlüsselung?
In dem von uns angesprochenen Thema ist diese Frage wohl eine der wichtigsten. Unter den Kommentaren zu dem Artikel über Kingston DataTraveler stießen wir auf eine weitere interessante Frage: „Haben Ihre Geräte eine Prüfung durch unabhängige Dritte erhalten?“. Nun, das ist ein durchaus nachvollziehbares Interesse: Benutzer möchten sicherstellen, dass in unseren USB-Sticks keine gängigen Fehler wie schwache Verschlüsselung oder die Möglichkeit, die Passwortabfrage zu umgehen, vorhanden sind. In diesem Teil des Artikels werden wir erörtern, welche Zertifizierungsverfahren die Kingston-Sticks durchlaufen, bevor sie den Status wirklich sicherer USB-Sticks erhalten.
Wer garantiert die Zuverlässigkeit? Es scheint, als könnten wir sagen, dass „Kingston produziert – es garantiert auch“. Doch in diesem Fall wäre eine solche Aussage falsch, da der Hersteller eine interessierte Partei ist. Daher werden alle Produkte von einer dritten Partei mit einer unabhängigen Prüfung überprüft. Insbesondere sind die Kingston-Speicher mit Hardware-Verschlüsselung (mit Ausnahme von DTLPG3) Teil des Programms zur Validierung von kryptografischen Modulen (Cryptographic Module Validation Program oder CMVP) und gemäß dem föderalen Standard für Informationsverarbeitung (Federal Information Processing Standard oder FIPS) zertifiziert. Darüber hinaus werden Speichergeräte nach den Standards GLBA, HIPPA, HITECH, PCI und GTSA zertifiziert.
1. Programm zur Validierung von kryptografischen Modulen
Das CMVP-Programm ist ein Gemeinschaftsprojekt des National Institute of Standards and Technology des US-Handelsministeriums und des Canadian Centre for Cyber Security. Ziel des Projekts ist es, die Nachfrage nach geprüften kryptografischen Geräten zu stimulieren und Sicherheitskennzahlen für Bundesbehörden und regulierte Branchen (wie Finanz- und Gesundheitseinrichtungen) bereitzustellen, die beim Kauf von Geräten verwendet werden.
Die Überprüfungen der Geräte auf die Einhaltung eines Satzes von kryptografischen Anforderungen und Sicherheitsanforderungen werden von unabhängigen Labors für Kryptographie und Sicherheitstestung durchgeführt, die von NVLAP (National Voluntary Laboratory Accreditation Program / „Nationales Programm für freiwillige Laborkreditierung“) akkreditiert sind. Dabei wird jeder Laborbericht auf die Konformität mit dem Federal Information Processing Standard (FIPS) 140-2 überprüft und vom CMVP bestätigt.
Module, die als konform mit dem Standard FIPS 140-2 bestätigt wurden, werden bis zum 22. September 2026 von US- und kanadischen Bundesbehörden zur Nutzung empfohlen. Danach fallen sie in eine Archivliste, können jedoch weiterhin verwendet werden. Am 22. September 2020 endete die Frist für Anträge auf Validierung gemäß dem Standard FIPS 140-3. Nach erfolgreichem Abschluss der Prüfungen werden die Geräte für fünf Jahre in die aktive Liste geprüfter und vertrauenswürdiger Geräte aufgenommen. Wenn ein kryptografisches Gerät die Prüfung nicht besteht, wird die Nutzung in den Bundesbehörden der USA und Kanadas nicht empfohlen.
2. Welche Sicherheitsanforderungen stellt die FIPS-Zertifizierung?
Es ist schwierig, Daten von einem nicht zertifizierten verschlüsselten Laufwerk zu hacken, und es gelingt nur wenigen. Daher kann man sich bei der Auswahl eines Speichergeräts für den privaten Gebrauch mit einer Zertifizierung entspannen. Im Unternehmenssektor hingegen sieht die Situation anders aus: Wenn Unternehmen geschützte USB-Speichergeräte auswählen, legen sie oft Wert auf die FIPS-Zertifizierungsstufen. Allerdings haben nicht alle eine klare Vorstellung davon, was diese Stufen bedeuten.
Der aktuelle Standard FIPS 140-2 definiert vier verschiedene Sicherheitsniveaus, die Flash-Laufwerke erfüllen können. Die erste Stufe bietet einen moderaten Sicherheitsfunktionsumfang. Die vierte Stufe erfordert strenge Anforderungen an den Selbstschutz der Geräte. Die Stufen zwei und drei bieten eine Abstufung dieser Anforderungen und bilden eine Art goldene Mitte.
- Erste Sicherheitsstufe: Für USB-Speichergeräte, die auf der ersten Stufe zertifiziert sind, wird die Verwendung mindestens eines Verschlüsselungsalgorithmus oder einer anderen Sicherheitsfunktion angenommen.
- Zweite Sicherheitsstufe: Hier wird vom Speichergerät nicht nur die Bereitstellung kryptografischen Schutzes gefordert, sondern auch die Aufzeichnung unbefugter Zugriffe auf Firmware-Ebene, falls jemand versucht, das Laufwerk zu öffnen.
- Dritte Sicherheitsstufe: Diese sieht vor, dass Angriffe durch die Zerstörung der "Schlüssel" zur Verschlüsselung verhindert werden. Das bedeutet, dass eine Reaktion auf Eindringsversuche erforderlich ist. Die dritte Stufe garantiert zudem einen höheren Schutz vor elektromagnetischen Störungen: das Auslesen von Daten vom Flash-Laufwerk mit drahtlosen Hackergeräten ist nicht möglich.
- Vierte Sicherheitsstufe: Die höchste Stufe, die vollständigen Schutz des kryptografischen Moduls erfordert, um die maximale Wahrscheinlichkeit der Erkennung und Widerstand gegen unbefugte Zugriffsversuche durch Dritte zu gewährleisten. USB-Sticks, die die vierte Stufe erreicht haben, beinhalten auch solche Schutzoptionen, die ein Hacking durch Veränderung von Spannung und Temperatur der Umgebung verhindern.
Nach dem Standard FIPS 140-2 sind die folgenden Kingston-Laufwerke der dritten Stufe zertifiziert: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. Eine wichtige Besonderheit dieser Laufwerke ist ihre Fähigkeit, auf Eindringversuche zu reagieren: Nach zehn falschen Passworteingaben werden die Daten auf dem Laufwerk gelöscht.
Was können Kingston-USB-Sticks neben der Verschlüsselung noch?
Wenn es um die vollständige Sicherheit von Daten geht, kommen neben der Hardware-Verschlüsselung von USB-Sticks auch integrierte Antiviruslösungen, Schutz vor externen Einflüssen, Synchronisation mit persönlichen Clouds und andere Funktionen zum Tragen, über die wir gleich sprechen werden. Bei USB-Sticks mit Software-Verschlüsselung gibt es keinen signifikanten Unterschied. Der 'Teufel' steckt im Detail. Und hier sind die Details.
1. Kingston DataTraveler 2000
Nehmen wir zum Beispiel einen USB-Stick . Dies ist einer der USB-Sticks mit Hardware-Verschlüsselung, jedoch der einzige mit einer eigenen physischen Tastatur am Gehäuse. Diese 11-Tasten-Tastatur macht den DT2000 vollständig unabhängig von Host-Systemen (um den DataTraveler 2000 zu verwenden, müssen Sie die Taste 'Schlüssel' drücken, dann Ihr Passwort eingeben und erneut die Taste 'Schlüssel' drücken). Darüber hinaus verfügt dieser USB-Stick über die Schutzart IP57 gegen Wasser und Staub (überraschenderweise gibt Kingston dies auf der Verpackung und in den Spezifikationen auf der offiziellen Website nirgendwo an).
Im Inneren des DataTraveler 2000 befindet sich ein Lithium-Polymer-Akku (mit 40 mAh), und Kingston empfiehlt den Käufern, das Laufwerk mindestens eine Stunde lang an einen USB-Port anzuschließen, bevor sie es verwenden, damit der Akku aufgeladen werden kann. Übrigens haben wir in einem unserer vorherigen Artikel : es gibt keinen Grund zur Sorge – im Ladegerät wird der USB-Stick nicht aktiviert, da das System keine Anfragen an den Controller sendet. Daher kann niemand Ihre Daten durch drahtlose Angriffe stehlen.
2. Kingston DataTraveler Locker+ G3
Wenn wir über das Modell Kingston sprechen – es zieht die Aufmerksamkeit auf sich mit der Möglichkeit, eine Datensicherung vom USB-Stick in den Google Cloud, OneDrive, Amazon Cloud oder Dropbox einzurichten. Eine Daten-Synchronisation mit diesen Diensten ist ebenfalls vorgesehen.
Eine der Fragen, die uns von den Lesern gestellt wird, lautet: „Wie kann ich verschlüsselte Daten aus einem Backup abrufen?“. Ganz einfach. Bei der Synchronisierung mit der Cloud werden die Informationen entschlüsselt, und der Schutz des Backups in der Cloud hängt von den Möglichkeiten der Cloud selbst ab. Daher werden solche Verfahren ausschließlich im Ermessen des Benutzers durchgeführt. Ohne seine Erlaubnis wird es keine Datenübertragung in die Cloud geben.
3. Kingston DataTraveler Vault Privacy 3.0
Hier sind die Geräte von Kingston. Diese werden auch mit der integrierten Antivirensoftware Drive Security von ESET geliefert. Letztere schützt die Daten vor dem Eindringen von Viren, Spyware, Trojanern, Würmern, Rootkits und Verbindungen zu fremden Computern, man kann sagen, sie hat keine Angst davor. Die Antivirensoftware warnt den Eigentümer des Speichermediums sofort über mögliche Bedrohungen, falls diese entdeckt werden. Der Benutzer muss dabei keine Antivirensoftware selbst installieren oder diese Option bezahlen. ESET Drive Security ist vorinstalliert auf dem USB-Stick und mit einer Lizenz für fünf Jahre ausgestattet.
Der Kingston DT Vault Privacy 3.0 wurde in erster Linie für IT-Spezialisten entwickelt und richtet sich hauptsächlich an sie. Er ermöglicht es Administratoren, ihn als eigenständigen Speicher zu verwenden oder als Teil einer Lösung für das zentrale Management hinzuzufügen. Er kann auch zur Konfiguration oder zum Remote-Zurücksetzen von Passwörtern und zur Einrichtung von Geräte-Richtlinien verwendet werden. Kingston hat sogar USB 3.0 hinzugefügt, das den schnellen Transfer geschützter Daten ermöglicht, deutlich schneller als USB 2.0.
Insgesamt ist der DT Vault Privacy 3.0 eine ausgezeichnete Wahl für den Unternehmenssektor und Organisationen, die maximalen Schutz ihrer Daten benötigen. Außerdem kann er allen Benutzern empfohlen werden, die Computer in öffentlichen Netzwerken nutzen.
Für weitere Informationen über Produkte von Kingston besuchen Sie bitte die .
Quelle: habr.com
