Hallo, Habr! In den Kommentaren zu einem unserer haben die Leser eine interessante Frage gestellt: „Warum braucht man einen USB-Stick mit Hardware-Verschlüsselung, wenn es TrueCrypt gibt?“, und sie äußerten sogar einige Bedenken hinsichtlich der Frage, „Wie kann man sicherstellen, dass es keine Hintertüren in der Software und Hardware des Kingston-Laufwerks gibt?“ Wir haben diese Fragen knapp beantwortet, aber dann beschlossen, dass das Thema eine eingehendere Analyse verdient. Damit beschäftigen wir uns in diesem Beitrag.
Hardware-Verschlüsselung mit AES existiert, ähnlich wie Software-Verschlüsselung, schon seit langem. Aber wie schützt sie konkret wichtige Daten auf Flash-Laufwerken? Wer zertifiziert solche Laufwerke, und kann man diesen Zertifikaten vertrauen? Wer braucht überhaupt solche „komplexen“ USB-Sticks, wenn man kostenlose Programme wie TrueCrypt oder BitLocker nutzen kann? Wie Sie sehen, wirft das im Kommentar aufgeworfene Thema wirklich viele Fragen auf. Lassen Sie uns versuchen, das alles zu klären.
Wie unterscheidet sich Hardware-Verschlüsselung von softwarebasierter Verschlüsselung?
Bei Flash-Laufwerken (sowie HDDs und SSDs) wird zum Hardware-Encryption der Daten ein spezieller Chip auf der Leiterplatte des Geräts verwendet. Dieser enthält einen Zufallszahlengenerator, der die Verschlüsselungsschlüssel erstellt. Die Daten werden automatisch verschlüsselt und sofort entschlüsselt, sobald das Benutzerpasswort eingegeben wird. In diesem Szenario ist es nahezu unmöglich, ohne das Passwort auf die Daten zuzugreifen.
Bei der Verwendung von Software-Verschlüsselung wird die "Sperrung" der Daten auf dem Laufwerk durch externe Software realisiert, die als kostengünstige Alternative zu hardwarebasierten Verschlüsselungsmethoden dient. Die Nachteile solcher Software können darin bestehen, dass sie regelmäßige Updates benötigt, um gegen ständig verbesserte Hacking-Techniken zu schützen. Darüber hinaus wird zur Entschlüsselung der Daten die Prozessorleistung des Computers eingesetzt (nicht ein separater Hardware-Chip), und daher bestimmt das Schutzniveau des PCs das Schutzniveau des Laufwerks.
Das Hauptmerkmal von Speicherlösungen mit Hardware-Verschlüsselung ist der separate kryptografische Prozessor. Dies bedeutet, dass die Verschlüsselungsschlüssel niemals den USB-Stick verlassen, im Gegensatz zu Software-Schlüsseln, die temporär im Arbeitsspeicher des Computers oder auf der Festplatte gespeichert werden können. Da die Software-Verschlüsselung den PC-Speicher für die Anzahl der Anmeldeversuche verwendet, kann sie Brute-Force-Angriffe auf das Passwort oder den Schlüssel nicht verhindern. Der Zähler für Anmeldeversuche kann von einem Angreifer kontinuierlich zurückgesetzt werden, bis das Passwort-Crack-Programm die richtige Kombination findet.
Übrigens…, in den Kommentaren zum Artikel “” haben die Nutzer auch angemerkt, dass beispielsweise das Programm TrueCrypt einen tragbaren Modus hat. Allerdings stellt dies keinen großen Vorteil dar. Das Problem ist, dass in diesem Fall das Verschlüsselungsprogramm im Speicher des USB-Sticks gespeichert wird, was es anfälliger für Angriffe macht.
Zusammenfassend lässt sich sagen, dass softwaregestützte Ansätze nicht denselben Sicherheitsstandard wie AES-Verschlüsselung bieten. Sie stellen eher einen grundlegenden Schutz dar. Auf der anderen Seite ist die softwarebasierte Verschlüsselung wichtiger Daten immer noch besser als gar keine Verschlüsselung. Diese Tatsache lässt uns die beiden Arten der Kryptographie klar voneinander abgrenzen: Hardwareverschlüsselung von Flash-Laufwerken ist eher eine Notwendigkeit für den Unternehmenssektor (z. B. wenn Mitarbeiter der Firma mit im Büro ausgegebenen Laufwerken arbeiten); während Softwareverschlüsselung besser für den persönlichen Bedarf geeignet ist.
Kingston bietet seine Speichermodelle (wie den IronKey S1000) in zwei Versionen an: Basic (Basisversion) und Enterprise (Unternehmensversion). In Bezug auf Funktionalität und Schutzmerkmale sind sie nahezu identisch, jedoch bietet die Unternehmensversion die Möglichkeit, den Speicher mittels der Software SafeConsole/IronKey EMS zu verwalten. Mit dieser Software kann der Speicher entweder mit Cloud- oder lokalen Servern zur Fernverwaltung von Passwortschutz- und Zugriffsrichtlinien betrieben werden. Benutzer erhalten die Möglichkeit, verlorene Passwörter wiederherzustellen, während Administratoren nicht mehr benötigte Speichergeräte auf neue Aufgaben umschalten können.
Wie funktionieren Kingston-Flashlaufwerke mit AES-Verschlüsselung?
Kingston verwendet eine 256-Bit-Hardwareverschlüsselung AES-XTS (unter Verwendung eines zusätzlichen vollwertigen Schlüssels) für all seine sicheren Speichergeräte. Wie bereits erwähnt, besitzen die Flashlaufwerke in ihrer Komponentenbasis einen separaten Chip zur Verschlüsselung und Entschlüsselung von Daten, der als dauerhaft aktiver Zufallszahlengenerator fungiert.
Wenn Sie ein Gerät zum ersten Mal an einen USB-Anschluss anschließen, bietet der Einrichtungassistent an, ein Master-Passwort für den Zugriff auf das Gerät festzulegen. Nach der Aktivierung des Speichermediums beginnen die Verschlüsselungsalgorithmen automatisch, gemäß den Benutzerpräferenzen zu arbeiten.
Dabei bleibt das Prinzip der Funktionsweise des Flash-Laufwerks für den Benutzer unverändert – er kann weiterhin Dateien im Speicher des Geräts herunterladen und speichern, wie bei einer herkömmlichen USB-Flash-Laufwerk. Der einzige Unterschied besteht darin, dass Sie beim Anschluss des USB-Laufwerks an einen neuen Computer das festgelegte Passwort eingeben müssen, um auf Ihre Informationen zugreifen zu können.
Warum und für wen sind USB-Sticks mit Hardware-Verschlüsselung erforderlich?
Für Organisationen, in denen vertrauliche Daten Teil des Geschäfts sind (sei es in Finanz-, Gesundheits- oder staatlichen Einrichtungen), ist Verschlüsselung das sicherste Mittel zum Schutz. Hardwareverschlüsselung mit AES – eine skalierbare Lösung, die für Unternehmen aller Größenordnungen geeignet ist: von Privatpersonen und kleinen Unternehmen bis hin zu großen Konzernen sowie militärischen und staatlichen Organisationen. Bei näherer Betrachtung ist der Einsatz von verschlüsselten USB-Sticks unerlässlich:
- Zur Sicherstellung der Sicherheit vertraulicher Daten des Unternehmens
- Zum Schutz von Kundendaten
- Um Unternehmen vor Gewinnverlusten und Loyalitätsverlusten bei Kunden zu schützen
Es ist erwähnenswert, dass einige Hersteller von sicheren USB-Sticks (darunter auch Kingston) individuelle Lösungen für Unternehmen anbieten, die auf die Bedürfnisse und Anforderungen der Kunden zugeschnitten sind. Dennoch erfüllen auch die Massenlinien (darunter die DataTraveler-Sticks) hervorragend ihre Aufgaben und gewährleisten ein Unternehmensniveau an Sicherheit.
1. Gewährleistung der Sicherheit vertraulicher Daten des Unternehmens
Im Jahr 2017 fand ein Einwohner Londons in einem der Parks einen USB-Stick, der ungesicherte Informationen zur Sicherheit des Flughafens Heathrow enthielt. Dazu gehörten der Standort von Überwachungskameras sowie detaillierte Informationen über Sicherheitsmaßnahmen bei der Ankunft hochrangiger Persönlichkeiten. Außerdem waren auf dem Stick Daten zu elektronischen Ausweisen und Zugangscodes für gesperrte Bereiche des Flughafens gespeichert.
Analysten führen solche Vorfälle auf die Cyber-Unkenntnis von Mitarbeitern zurück, die aufgrund ihrer Nachlässigkeit geheime Daten preisgeben können. USB-Sticks mit Hardwareverschlüsselung können dieses Problem teilweise lösen: Bei Verlust eines solchen Sticks ist es nicht möglich, ohne das Master-Passwort des entsprechenden Sicherheitsmitarbeiters auf die Daten zuzugreifen. Dennoch muss in jedem Fall das Personal im Umgang mit USB-Sticks geschult werden, selbst wenn es sich um Geräte mit Verschlüsselung handelt.
2. Schutz von Kundendaten
Eine der wichtigsten Aufgaben für jede Organisation ist der Schutz der Kundendaten, die nicht dem Risiko einer Kompromittierung ausgesetzt werden dürfen. Diese Informationen werden häufig zwischen verschiedenen Unternehmensbereichen ausgetauscht und sind in der Regel vertraulich: Sie können zum Beispiel Daten zu finanziellen Transaktionen, Krankengeschichten usw. enthalten.
3. Schutz vor Verlust von Gewinn und Kundenloyalität
Der Einsatz von USB-Geräten mit Hardware-Verschlüsselung kann helfen, verheerende Folgen für Organisationen zu verhindern. Unternehmen, die gegen das Datenschutzgesetz verstoßen, müssen mit hohen Geldstrafen rechnen. Daher sollte die Frage aufgeworfen werden, ob es sich lohnt, das Risiko einzugehen, Informationen ohne angemessenen Schutz auszutauschen?
Selbst wenn wir die finanziellen Folgen außen vor lassen, kann die Menge an Zeit und Ressourcen, die für die Behebung von Sicherheitsfehlern aufgewendet wird, erheblich sein. Darüber hinaus läuft ein Unternehmen Gefahr, die Loyalität seiner Kunden zu verlieren, wenn durch einen Datenleak deren Informationen kompromittiert werden, insbesondere auf Märkten, in denen Mitbewerber ähnliche Produkte oder Dienstleistungen anbieten.
Wer garantiert, dass es bei der Verwendung von Flash-Laufwerken mit Hardware-Verschlüsselung keine »Backdoors« des Herstellers gibt?
In der von uns angesprochenen Thematik ist diese Frage wohl eine der wichtigsten. Unter den Kommentaren zu dem Artikel über die Kingston DataTraveler Speicher sind wir auf eine weitere interessante Frage gestoßen: „Gibt es ein Audit Ihrer Geräte von unabhängigen Dritten?“ Nun, dies ist ein durchaus logisches Interesse: Die Benutzer möchten sicherstellen, dass in unseren USB-Sticks keine weit verbreiteten Mängel wie schwache Verschlüsselung oder Umgehungsmöglichkeiten für die Eingabe eines Passworts vorhanden sind. In diesem Abschnitt des Artikels werden wir erläutern, welche Zertifizierungsverfahren die Kingston-Speicher durchlaufen, bevor sie den Status von tatsächlich sicheren Flash-Laufwerken erhalten.
Wer garantiert die Zuverlässigkeit? Man könnte sagen, "Kingston produziert – also garantiert es auch". Doch in diesem Fall wäre eine solche Aussage irreführend, da der Hersteller eine interessierte Partei ist. Deshalb werden alle Produkte von Dritten mit unabhängiger Expertise überprüft. Insbesondere verfügt der Kingston-Speicher mit hardwareseitiger Verschlüsselung (außer DTLPG3) über eine Teilnahme am Cryptographic Module Validation Program (CMVP) und ist nach dem Federal Information Processing Standard (FIPS) zertifiziert. Zudem werden die Speicher nach den Standards GLBA, HIPPA, HITECH, PCI und GTSA zertifiziert.
1. Programm zur Validierung kryptografischer Module
Das CMVP-Programm ist ein Gemeinschaftsprojekt des National Institute of Standards and Technology (NIST) des US-Handelsministeriums und des Canadian Centre for Cybersecurity. Ziel des Projekts ist es, die Nachfrage nach geprüften kryptografischen Geräten zu stimulieren und Sicherheitskennzahlen für Bundesbehörden sowie regulierte Branchen, wie zum Beispiel Finanz- und Gesundheitseinrichtungen, die beim Kauf von Geräten eingesetzt werden, bereitzustellen.
Die Überprüfungen der Geräte auf die Einhaltung kryptografischer Anforderungen und Sicherheitsstandards erfolgen durch unabhängige Labore für Kryptografie und Sicherheitstests, die vom NVLAP (National Voluntary Laboratory Accreditation Program / „Nationales Programm zur freiwilligen Akkreditierung von Laboren“) akkreditiert sind. Dabei wird jedes Laborergebnis auf die Übereinstimmung mit dem Federal Information Processing Standard (FIPS) 140-2 überprüft und durch das CMVP bestätigt.
Module, die als konform mit dem FIPS 140-2 Standard validiert sind, werden von den Bundesbehörden der USA und Kanada bis zum 22. September 2026 zur Verwendung empfohlen. Danach werden sie in die Archivliste aufgenommen, können jedoch weiterhin genutzt werden. Am 22. September 2020 endete die Annahme von Anträgen auf Validierung nach dem Standard FIPS 140-3. Nach erfolgreichem Bestehen der Prüfungen werden die Geräte für fünf Jahre in die aktive Liste geprüfter und zuverlässiger Geräte übertragen. Wenn ein kryptografisches Gerät die Prüfung nicht besteht, wird seine Nutzung in staatlichen Einrichtungen der USA und Kanada nicht empfohlen.
2. Welche Sicherheitsanforderungen stellt die FIPS-Zertifizierung?
Es ist zwar schwierig, Daten auch von einem nicht zertifizierten verschlüsselten Laufwerk zu hacken und gelingt nur wenigen, weshalb man sich bei der Auswahl eines Verbraucher-Speichers für den Heimgebrauch mit einer Zertifizierung keine großen Gedanken machen braucht. Im Unternehmenssektor sieht die Situation jedoch anders aus: Bei der Auswahl von sicheren USB-Laufwerken legen Unternehmen oft Wert auf die FIPS-Zertifizierungsstufen. Dennoch haben nicht alle eine klare Vorstellung davon, was diese Stufen bedeuten.
Der aktuelle FIPS 140-2 Standard definiert vier verschiedene Sicherheitsstufen, die Flash-Laufwerke erfüllen können. Die erste Stufe bietet einen moderaten Sicherheitsfunktionsumfang. Die vierte Stufe hingegen beinhaltet strenge Anforderungen an die Selbstschutzmechanismen der Geräte. Die Stufen zwei und drei bieten eine Graduierung dieser Anforderungen und stellen einen gewissen Kompromiss dar.
- Erste Sicherheitsstufe: Für USB-Laufwerke, die nach der ersten Stufe zertifiziert sind, wird erwartet, dass mindestens ein Verschlüsselungsalgorhythmus oder eine andere Sicherheitsfunktion verwendet wird.
- Zweite Sicherheitsstufe: Hier wird von dem Laufwerk nicht nur erwartet, dass es kryptographischen Schutz bietet, sondern auch, dass unbefugte Zugriffsversuche auf der Firmware-Ebene protokolliert werden, falls jemand versucht, das Laufwerk zu öffnen.
- Dritte Sicherheitsebene: Beinhaltet den Schutz vor Hackversuchen durch die Zerstörung von Verschlüsselungsschlüsseln. Das bedeutet, dass eine Reaktion auf Eindringversuche erforderlich ist. Zudem gewährleistet die dritte Ebene einen höheren Schutz gegen elektromagnetische Störungen: Daten von Flash-Laufwerken können nicht mit drahtlosen Hackergeräten gelesen werden.
- Vierte Sicherheitsebene: Die höchste Stufe, die den vollständigen Schutz des kryptografischen Moduls bietet und die Wahrscheinlichkeit maximiert, unbefugte Zugriffsversuche durch Dritte zu erkennen und zu vereiteln. Flash-Laufwerke mit einer Zertifizierung der vierten Ebene beinhalten unter anderem Schutzoptionen, die das Hacken durch Änderung von Spannung und Temperatur der Umgebung verhindern.
Nach dem FIPS 140-2 Standard der dritten Stufe sind folgende Kingston-Laufwerke zertifiziert: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. Ein zentrales Merkmal dieser Laufwerke ist ihre Fähigkeit, auf Eindringversuche zu reagieren: Bei zehnmaliger falscher Passworteingabe werden die Daten auf dem Laufwerk zerstört.
Was können Kingston-USB-Sticks noch außer Verschlüsselung?
Wenn es um die vollständige Sicherheit von Daten geht, kommen neben der hardwarebasierten Verschlüsselung von USB-Sticks auch integrierte Antivirenprogramme, Schutz vor externen Bedrohungen, Synchronisation mit persönlichen Clouds und weitere Funktionen ins Spiel, über die wir gleich sprechen werden. In Bezug auf USB-Sticks mit softwarebasierter Verschlüsselung gibt es keinen großen Unterschied. Der "Teufel" steckt im Detail, und hier sind die Details.
1. Kingston DataTraveler 2000
Nehmen wir zum Beispiel den USB-Stick . Dies ist einer der USB-Sticks mit hardwarebasierter Verschlüsselung, aber der einzige mit einer eigenen physischen Tastatur am Gehäuse. Diese 11-Tasten-Tastatur macht den DT2000 vollständig unabhängig von Host-Systemen (um den DataTraveler 2000 zu verwenden, müssen Sie die Taste «Schlüssel» drücken, dann Ihr Passwort eingeben und erneut die Taste «Schlüssel» drücken). Darüber hinaus bietet dieser USB-Stick den Schutzgrad IP57 gegen Wasser und Staub (überraschenderweise gibt Kingston dies weder auf der Verpackung noch in den Spezifikationen auf der offiziellen Website an).
Im Inneren des DataTraveler 2000 befindet sich ein Lithium-Polymer-Akku (mit einer Kapazität von 40 mAh), und Kingston empfiehlt den Käufern, das Laufwerk mindestens eine Stunde lang an einen USB-Port anzuschließen, bevor sie beginnen, es zu verwenden, damit der Akku aufgeladen werden kann. Übrigens haben wir in einem der vorherigen Artikel : Es gibt keinen Grund zur Sorge – im Ladegerät wird der USB-Stick nicht aktiviert, da es an Anfragen an den Controller durch das System fehlt. Daher kann niemand Ihre Daten durch drahtlose Angriffe stehlen.
2. Kingston DataTraveler Locker+ G3
Wenn wir über das Modell Kingston sprechen, – es zieht die Aufmerksamkeit durch die Möglichkeit an, Daten von einem USB-Stick in den Google Cloud-Speicher, OneDrive, Amazon Cloud oder Dropbox zu sichern. Auch eine Synchronisierung der Daten mit diesen Diensten ist vorgesehen.
Eine der Fragen, die uns Leser stellen, lautet: "Wie kann ich verschlüsselte Daten aus einem Backup abrufen?" Ganz einfach. Bei der Synchronisierung mit der Cloud werden die Informationen entschlüsselt, und der Schutz des Backups in der Cloud hängt von den Möglichkeiten der jeweiligen Cloud ab. Daher werden solche Verfahren ausschließlich nach Ermessen des Nutzers durchgeführt. Ohne seine Genehmigung wird es keine Datenübertragung in die Cloud geben.
3. Kingston DataTraveler Vault Privacy 3.0
Hier sind die Geräte von Kingston werden zusätzlich mit der integrierten Antivirensoftware Drive Security von ESET geliefert. Diese schützt Daten vor dem Eindringen von Viren, Spyware, Trojanern, Würmern, Rootkits und dem Zugriff auf fremde Computer via USB-Speichermedien. Der Antivirus warnt den Besitzer des Speichers sofort vor potenziellen Bedrohungen, sobald diese erkannt werden. Dabei muss der Benutzer keine Antiviren-Software selbst installieren oder diese Option bezahlen. ESET Drive Security ist bereits vorinstalliert und kommt mit einer fünfjährigen Lizenz auf dem Flash-Speicher.
Der Kingston DT Vault Privacy 3.0 wurde speziell für IT-Fachleute entwickelt und konzipiert. Er ermöglicht Administratoren die Nutzung als eigenständiges Speichermedium oder als Teil einer Lösung für das zentrale Management. Zudem kann er verwendet werden, um Geräte zu konfigurieren oder Passwörter aus der Ferne zurückzusetzen und Richtlinien festzulegen. Kingston hat sogar USB 3.0 hinzugefügt, das den Datentransfer von geschützten Inhalten deutlich schneller als über USB 2.0 ermöglicht.
Insgesamt ist DT Vault Privacy 3.0 eine hervorragende Wahl für den Unternehmenssektor und Organisationen, die maximalen Schutz ihrer Daten benötigen. Zudem kann es allen Benutzern empfohlen werden, die Computer in öffentlichen Netzwerken verwenden.
Für weitere Informationen über die Produkte von Kingston kontaktieren Sie bitte .
Quelle: habr.com
