Ciao, Habr! Nei commenti a uno dei nostri i lettori hanno posto una domanda interessante: "A cosa serve una chiavetta USB con crittografia hardware, quando esiste TrueCrypt?" – e hanno persino espresso alcune preoccupazioni riguardo a "Come si può essere certi che nel software e nell'hardware della chiavetta Kingston non ci siano backdoor?" Abbiamo risposto in modo conciso a queste domande, ma poi abbiamo deciso che l'argomento merita un'analisi approfondita. Questo è ciò su cui ci concentreremo in questo post.
La crittografia hardware AES, così come quella software, esiste da molto tempo, ma come protegge esattamente i dati importanti sulle chiavette USB? Chi certifica tali dispositivi e possiamo fidarci di queste certificazioni? A chi servono davvero queste chiavette "complesse", se si possono usare programmi gratuiti come TrueCrypt o BitLocker? Come potete vedere, l'argomento sollevato nei commenti genera davvero molte domande. Cerchiamo di fare chiarezza su tutto questo.
Qual è la differenza tra la crittografia hardware e quella software?
Nel caso delle chiavette USB (così come degli HDD e SSD), per eseguire la crittografia hardware dei dati si utilizza un chip speciale situato sulla scheda del dispositivo. Al suo interno è integrato un generatore di numeri casuali che crea le chiavi di crittografia. I dati vengono crittografati automaticamente e decrittografati istantaneamente all'inserimento della password dell'utente. In questo scenario, accedere ai dati senza password è praticamente impossibile.
Con la crittografia software, il "blocco" dei dati sulla chiavetta è assicurato da software esterni, che rappresentano un'alternativa economica ai metodi di crittografia hardware. Gli svantaggi di tale software possono includere la banale necessità di aggiornamenti regolari per offrire resistenza a metodiche di hacking in continuo miglioramento. Inoltre, per decrittografare i dati vengono utilizzate le capacità di elaborazione del computer (e non di un chip hardware dedicato); in sostanza, il livello di protezione del PC determina il livello di protezione della chiavetta.
La principale caratteristica delle unità con crittografia hardware è il processore crittografico separato, la cui presenza indica che le chiavi di crittografia non lasciano mai l'unità USB, a differenza delle chiavi software, che possono essere temporaneamente memorizzate nella memoria RAM del computer o sul disco rigido. E poiché la crittografia software utilizza la memoria del PC per memorizzare il numero di tentativi di accesso, non può fermare gli attacchi di forza bruta sulla password o sulla chiave. Il contatore dei tentativi di accesso può essere resettato continuamente da un malintenzionato finché il programma di cracking automatico delle password non trova la combinazione corretta.
A proposito…, nei commenti all'articolo “” gli utenti hanno anche osservato che, ad esempio, il programma TrueCrypt ha una modalità portatile. Tuttavia, questo non rappresenta un grande vantaggio. Il fatto è che in questo caso il programma di crittografia viene memorizzato nella memoria dell'unità USB, il che lo rende più vulnerabile agli attacchi.
In conclusione: l'approccio software non offre un livello di sicurezza così elevato come la crittografia AES. È, piuttosto, una protezione di base. D'altra parte, la crittografia software per dati importanti è comunque migliore della totale assenza di crittografia. E questo fatto ci permette di distinguere chiaramente tra questi tipi di crittografia: la crittografia hardware delle unità USB è una necessità, soprattutto per il settore aziendale (ad esempio, quando i dipendenti dell'azienda utilizzano unità fornite dal lavoro); mentre la crittografia software è più adatta per le esigenze degli utenti.
Tuttavia, Kingston suddivide i suoi modelli di unità (ad esempio, IronKey S1000) in versioni Basic (di base) ed Enterprise (aziendale). Funzionalmente e per le proprietà di protezione, sono praticamente identiche, ma la versione aziendale offre la possibilità di gestire l'unità tramite il software SafeConsole/IronKey EMS. Grazie a questo software, l'unità funziona con server cloud o locali per implementare politiche di protezione con password e accesso in remoto. Gli utenti hanno possibilità di recupero delle password smarrite, mentre gli amministratori possono riconvertire unità non più utilizzate in nuovi compiti.
Come funzionano le chiavette USB Kingston con crittografia AES?
Kingston utilizza la crittografia hardware AES-XTS a 256 bit (con l'uso di una chiave full-size aggiuntiva) per tutte le sue unità sicure. Come già accennato, le chiavette contengono un chip dedicato per la crittografia e la decrittografia dei dati, che funge da generatore di numeri casuali sempre attivo.
Quando colleghi il dispositivo per la prima volta a una porta USB, la procedura guidata di configurazione ti chiede di impostare una password principale per l'accesso al dispositivo. Una volta attivata l'unità, gli algoritmi di crittografia inizieranno automaticamente a funzionare in base alle preferenze dell'utente.
Tuttavia, per l'utente, il principio di funzionamento della chiavetta USB rimarrà invariato: potrà continuare a scaricare e memorizzare file nella memoria del dispositivo, come con una normale chiavetta USB. L'unica differenza è che quando colleghi la chiavetta a un nuovo computer, dovrai inserire la password impostata per accedere alle tue informazioni.
Perché e a chi servono le chiavette USB con crittografia hardware?
Per le organizzazioni in cui i dati sensibili sono parte integrante dell'attività (che si tratti di istituti finanziari, medici o pubblici), la crittografia rappresenta uno dei mezzi più affidabili di protezione. la crittografia hardware AES è una soluzione scalabile, utilizzabile da qualsiasi azienda: da privati e piccole imprese a grandi corporazioni, oltre a organizzazioni militari e governative. Per affrontare questo argomento in modo più concreto, è necessario l'uso di unità USB crittografate:
- Per garantire la sicurezza dei dati sensibili dell'azienda
- Per proteggere le informazioni sui clienti
- Per tutelare le aziende dalla perdita di profitti e dalla lealtà dei clienti
È importante notare che alcuni produttori di unità flash protette (inclusa la società Kingston) offrono soluzioni personalizzate per le aziende, sviluppate in base alle esigenze e agli obiettivi dei clienti. Tuttavia, anche le linee di prodotti mass-market (tra cui le chiavette DataTraveler) svolgono ottimamente i loro compiti e sono in grado di garantire un livello di sicurezza aziendale.
1. Garantire la sicurezza dei dati sensibili dell'azienda
Nel 2017, un residente di Londra ha trovato in un parco un'unità USB che conteneva informazioni non protette relative alla sicurezza dell'aeroporto di Heathrow, comprese la posizione delle telecamere di sorveglianza e dettagli sulle misure di sicurezza nel caso di arrivi di alti funzionari. Inoltre, l'unità conteneva dati di pass elettronici e codici di accesso a zone riservate dell'aeroporto.
Gli analisti indicano come causa di queste situazioni l'ignoranza informatica dei dipendenti, che possono "diffondere" dati riservati per negligenza. Le unità flash con crittografia hardware affrontano parzialmente questo problema, poiché nel caso di smarrimento di tale unità, non è possibile accedere ai dati senza la password principale dello stesso dipendente della sicurezza. In ogni caso, ciò non esime dall'obbligo di formare i dipendenti all'uso delle chiavette, anche quando si tratta di dispositivi protetti da crittografia.
2. Protezione delle informazioni sui clienti
Un compito ancora più importante per qualsiasi organizzazione è prendersi cura dei dati dei clienti, che non devono essere esposti al rischio di compromissione. A proposito, queste informazioni vengono trasferite più frequentemente tra i vari settori aziendali e, di norma, sono di natura riservata: ad esempio, possono contenere dati sulle operazioni finanziarie, la storia clinica, e così via.
3. Protezione contro la perdita di profitti e la fedeltà dei clienti
L'uso di dispositivi USB con crittografia hardware può contribuire a prevenire conseguenze disastrose per le organizzazioni. Le aziende che violano le leggi sulla protezione dei dati personali possono essere multate con somme ingenti. Pertanto, è opportuno chiedersi se valga la pena correre il rischio di scambiare informazioni senza adeguate protezioni.
Anche se non si considerano le conseguenze finanziarie, il tempo e le risorse spesi per correggere gli errori di sicurezza possono essere altrettanto significativi. Inoltre, se un'impronta digitale ha compromesso i dati dei clienti, l'azienda rischia la fedeltà al marchio, specialmente nei mercati dove ci sono concorrenti che offrono prodotti o servizi simili.
Chi garantisce l'assenza di "backdoor" da parte del produttore nell'uso di chiavette USB con crittografia hardware?
Nella questione che abbiamo sollevato, questo è forse uno dei punti principali. Tra i commenti all'articolo sui dispositivi di archiviazione Kingston DataTraveler ci siamo imbattuti in un'altra domanda interessante: "I vostri dispositivi hanno audit da parte di specialisti indipendenti?" Beh..., è un interesse del tutto logico: gli utenti vogliono assicurarsi che le nostre chiavette USB non presentino errori diffusi, come la crittografia debole o la possibilità di bypassare l'immissione della password. E in questa parte dell'articolo parleremo delle procedure di certificazione che i dispositivi Kingston devono affrontare prima di ottenere lo status di chiavette realmente sicure.
Chi garantisce l'affidabilità? Potremmo dire, in modo piuttosto semplice, che "Kingston ha prodotto – e quindi garantisce". Tuttavia, in questo caso, una tale affermazione sarebbe errata, poiché il produttore è una parte interessata. Pertanto, tutti i prodotti vengono sottoposti a verifica da parte di terzi con competenze indipendenti. In particolare, gli accumuli Kingston con crittografia hardware (ad eccezione di DTLPG3) sono partecipanti al programma di verifica dei moduli crittografici (Cryptographic Module Validation Program o CMVP) e sono certificati secondo lo standard federale per l'elaborazione delle informazioni (Federal Information Processing Standard o FIPS). Inoltre, gli accumuli sono certificati secondo gli standard GLBA, HIPPA, HITECH, PCI e GTSA.
1. Programma di verifica dei moduli crittografici
Il programma CMVP è un progetto congiunto dell'Istituto nazionale degli standard e della tecnologia del Dipartimento del commercio degli Stati Uniti e del Centro canadese per la sicurezza informatica. L'obiettivo del progetto è stimolare la domanda di dispositivi crittografici verificati e fornire indicatori di sicurezza agli enti federali e ai settori regolamentati (come istituti finanziari e medici) utilizzati nell'acquisto di attrezzature.
I controlli sui dispositivi per verificarne la conformità a un insieme di requisiti crittografici e di sicurezza sono effettuati da laboratori indipendenti di crittografia e test di sicurezza accreditati da NVLAP (National Voluntary Laboratory Accreditation Program / "Programma nazionale di accreditamento volontario dei laboratori"). Ogni rapporto di laboratorio viene verificato per la conformità allo standard federale di elaborazione delle informazioni (FIPS) 140-2 e confermato dal CMVP.
I moduli confermati come conformi allo standard FIPS 140-2 sono raccomandati per l'uso da parte degli enti federali degli Stati Uniti e del Canada fino al 22 settembre 2026. Dopo questa data, saranno inseriti in un elenco di archiviazione, sebbene possano comunque essere utilizzati. Il 22 settembre 2020 si è conclusa la ricezione delle domande per la verifica secondo lo standard FIPS 140-3. Dopo aver superato i controlli, i dispositivi saranno trasferiti per cinque anni nell'elenco attivo dei dispositivi verificati e affidabili. Se un dispositivo crittografico non supera il controllo, il suo utilizzo nelle istituzioni pubbliche degli Stati Uniti e del Canada non è raccomandato.
2. Quali sono i requisiti di sicurezza richiesti dalla certificazione FIPS?
Anche se è difficile violare i dati di un disco crittografato non certificato e solo pochi esperti ci riescono, nella scelta di un'unità di archiviazione consumatore per uso domestico non è necessario preoccuparsi eccessivamente della certificazione. Tuttavia, nel settore corporate la situazione è diversa: nella scelta di unità USB protette, le aziende spesso attribuiscono importanza ai livelli di certificazione FIPS. Tuttavia, non tutti hanno un'idea chiara di cosa significhino questi livelli.
Lo standard attuale FIPS 140-2 definisce quattro diversi livelli di sicurezza ai quali possono conformarsi le chiavette USB. Il primo livello offre un set moderato di funzionalità di sicurezza. Il quarto livello implica requisiti rigorosi per l'autoprotezione dei dispositivi. I livelli due e tre forniscono una gradazione di questi requisiti e costituiscono una sorta di equilibrio.
- Primo livello di sicurezza: per le chiavette USB certificate al primo livello, è previsto l'uso di almeno un algoritmo di crittografia o di un'altra funzione di sicurezza.
- Secondo livello di sicurezza: qui si richiede all'unità non solo di garantire la protezione crittografica, ma anche di registrare eventuali intrusioni non autorizzate a livello firmware, nel caso in cui qualcuno tenti di aprire l'unità.
- Terzo livello di sicurezza: prevede la prevenzione delle violazioni attraverso la distruzione delle "chiavi" di crittografia. Cioè, è richiesta una reazione agli attacchi di accesso. Inoltre, il terzo livello garantisce un livello superiore di protezione da interferenze elettromagnetiche: vale a dire che non sarà possibile leggere i dati dalla chiavetta utilizzando dispositivi wireless di hacking.
- Quarto livello di sicurezza: il livello più alto, che prevede una protezione completa del modulo crittografico, garantendo la massima probabilità di rilevare e contrastare tentativi di accesso non autorizzato da parte di utenti esterni. Le chiavette che ottengono la certificazione di quarto livello includono anche opzioni di protezione che impediscono il hacking mediante la modifica della tensione e della temperatura dell'ambiente circostante.
Secondo lo standard FIPS 140-2, sono certificati al terzo livello i seguenti dispositivi di memoria Kingston: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. La caratteristica principale di questi dispositivi è la capacità di rispondere a tentativi di intrusione: dopo dieci tentativi errati di inserimento della password, i dati sul dispositivo saranno distrutti.
Cosa sanno fare ancora le chiavette USB Kingston, oltre alla crittografia?
Quando si tratta di sicurezza totale dei dati, insieme alla crittografia hardware delle chiavette USB, entrano in gioco antivirus integrati, protezione da agenti esterni, sincronizzazione con cloud personali e altre funzioni di cui parleremo di seguito. Non c'è una grande differenza tra le chiavette con crittografia software. "Il diavolo è nei dettagli". Ecco quali sono.
1. Kingston DataTraveler 2000
Prendiamo ad esempio una chiavetta USB . Questa è una delle chiavette con crittografia hardware, ma è anche l'unica con una propria tastiera fisica sul corpo. Questa tastiera a 11 tasti rende il DT2000 completamente indipendente dai sistemi host (per utilizzare il DataTraveler 2000, è necessario premere il pulsante "Chiave", poi inserire la propria password e premere di nuovo il pulsante "Chiave"). Inoltre, questa chiavetta ha una protezione di livello IP57 da acqua e polvere (sorprendentemente, Kingston non dichiara questo né sulla confezione né nelle specifiche sul sito ufficiale).
All'interno del DataTraveler 2000 c'è una batteria agli ioni di litio (con una capacità di 40 mAh), e Kingston consiglia ai clienti di collegare il dispositivo alla porta USB per almeno un'ora prima di iniziare ad utilizzarlo, per permettere alla batteria di caricarsi. A proposito, in uno dei materiali precedenti : non c'è motivo di preoccuparsi – nel caricabatterie la chiavetta non si attiva, poiché non ci sono richieste al controller da parte del sistema. Quindi, nessuno potrà rubare i vostri dati attraverso intrusioni wireless.
2. Kingston DataTraveler Locker+ G3
Parlando del modello Kingston – attira l'attenzione per la possibilità di impostare il backup dei dati dalla chiavetta nel cloud di Google, OneDrive, Amazon Cloud o Dropbox. È prevista anche la sincronizzazione dei dati con questi servizi.
Una delle domande che i lettori ci pongono è: “E come faccio a recuperare i dati cifrati dal backup?”. Molto semplice. Infatti, durante la sincronizzazione con il cloud, le informazioni vengono decripate e la protezione del backup nel cloud dipende dalle capacità del cloud stesso. Pertanto, tali procedure vengono effettuate esclusivamente a discrezione dell'utente. Senza il suo permesso, non ci sarà alcun caricamento di dati nel cloud.
3. Kingston DataTraveler Vault Privacy 3.0
Ecco i dispositivi Kingston sono dotati anche di un antivirus integrato, Drive Security, dell'azienda ESET. Quest'ultimo protegge i dati da intrusioni nel dispositivo USB da parte di virus, spyware, trojan, worm, rootkit e connessioni a computer esterni, insomma, non ha paura. L'antivirus avviserà immediatamente il proprietario del dispositivo di potenziali minacce, qualora vengano rilevate. Inoltre, gli utenti non devono installare autonomamente un software antivirus né pagare per questa opzione. ESET Drive Security è preinstallato sulla chiavetta USB con una licenza valida per cinque anni.
Il Kingston DT Vault Privacy 3.0 è stato sviluppato e progettato principalmente per professionisti IT. Permette agli amministratori di utilizzarlo come dispositivo autonomo o di aggiungerlo come parte di una soluzione per la gestione centralizzata, possono anche essere utilizzati per configurare o ripristinare password a distanza e impostare politiche per i dispositivi. Kingston ha persino aggiunto la porta USB 3.0, che consente un trasferimento di dati protetti molto più veloce rispetto a USB 2.0.
In generale, il DT Vault Privacy 3.0 è un'ottima opzione per il settore aziendale e per le organizzazioni che necessitano della massima protezione dei propri dati. È consigliato anche a tutti gli utenti che utilizzano computer in reti pubbliche.
Per ulteriori informazioni sui prodotti Kingston, contatta il .
Fonte: habr.com
