Ciao, Habr! Nei commenti a uno dei nostri i lettori hanno posto una domanda interessante: “A cosa serve una chiavetta USB con crittografia hardware, quando esiste TrueCrypt?”, esprimendo anche alcune preoccupazioni su come “si può essere certi che nel software e nell'hardware del drive Kingston non ci siano backdoor?”. Abbiamo fornito risposte concise a queste domande, ma poi abbiamo ritenuto che l'argomento meritasse un'analisi approfondita. Questo è ciò di cui ci occuperemo in questo post.
La crittografia hardware AES, proprio come quella software, esiste da molto tempo, ma come protegge esattamente i dati importanti sui drive flash? Chi certifica questi drive e ci si può fidare di tali certificazioni? A chi servono realmente queste chiavette “complesse”, se si possono utilizzare programmi gratuiti come TrueCrypt o BitLocker? Come potete vedere, l'argomento sollevato nei commenti genera davvero molte domande. Cerchiamo di fare chiarezza su tutto questo.
Qual è la differenza tra la crittografia hardware e quella software?
Nel caso delle unità flash (così come HDD e SSD), per l'attuazione della crittografia hardware dei dati viene utilizzato un chip speciale posizionato sulla scheda del dispositivo. Questo chip contiene un generatore di numeri casuali, che crea le chiavi di crittografia. I dati vengono crittografati automaticamente e decifrati istantaneamente all'inserimento della password dell'utente. In questo scenario, accedere ai dati senza la password è praticamente impossibile.
Quando si utilizza la crittografia software, il “blocco” dei dati sull'unità è garantito da un software esterno, che funge da alternativa economica ai metodi hardware di crittografia. Gli svantaggi di tale software possono consistere nella necessità di aggiornamenti regolari, per offrire resistenza alle tecniche di hacking in continua evoluzione. Inoltre, per la decifratura dei dati vengono utilizzate le risorse del processo computerizzato (e non un chip hardware separato), e, in sostanza, il livello di protezione del PC determina il livello di protezione dell'unità.
La principale caratteristica delle unità con crittografia hardware è un processore crittografico separato, la cui presenza ci indica che le chiavi di crittografia non lasciano mai l'unità USB, a differenza delle chiavi software che possono essere temporaneamente conservate nella RAM del computer o sul disco rigido. Poiché la crittografia software utilizza la memoria del PC per memorizzare il numero di tentativi di accesso, non è in grado di fermare gli attacchi a forza bruta sulla password o sulla chiave. Il contatore dei tentativi di accesso può essere costantemente ripristinato da malintenzionati fino a quando il programma di hacking automatico delle password trova la combinazione corretta.
A proposito…, nei commenti all'articolo “” gli utenti hanno anche notato che, ad esempio, il programma TrueCrypt ha una modalità portatile. Tuttavia, questo non è un grande vantaggio. Il fatto è che in questo caso il programma di crittografia è memorizzato nella memoria della chiavetta USB, rendendolo più vulnerabile agli attacchi.
In conclusione: l'approccio software non offre lo stesso alto livello di sicurezza della crittografia AES. Si tratta, piuttosto, di una protezione di base. D'altra parte, la crittografia software dei dati importanti è comunque migliore di nessuna crittografia. Questo ci consente di distinguere chiaramente tra questi tipi di crittografia: la crittografia hardware delle chiavette USB è necessaria, soprattutto per il settore aziendale (ad esempio, quando i dipendenti utilizzano dispositivi dati dall'azienda); mentre quella software è più adatta per le esigenze personali.
Tuttavia, Kingston differenzia i suoi modelli di unità (ad esempio, IronKey S1000) tra le versioni Basic e Enterprise. Per funzionalità e proprietà di protezione, sono quasi identiche, ma la versione enterprise offre la possibilità di gestire l'unità tramite il software SafeConsole/IronKey EMS. Grazie a questo software, l'unità funziona sia con server cloud che locali per l'applicazione remota delle politiche di protezione e accesso alle password. Gli utenti hanno la possibilità di recuperare password perse, mentre gli amministratori possono riutilizzare le unità non più in uso per nuovi compiti.
Come funzionano le chiavette USB Kingston con crittografia AES?
Kingston utilizza la crittografia hardware AES-XTS a 256 bit (utilizzando una chiave a piena dimensione aggiuntiva) per tutte le sue unità sicure. Come abbiamo già accennato, le chiavette contengono nella loro componente un chip separato per la crittografia e decrittografia dei dati, che funge da generatore di numeri casuali sempre attivo.
Quando colleghi un dispositivo alla porta USB per la prima volta, la procedura guidata di inizializzazione ti propone di impostare una password principale per accedere al dispositivo. Dopo l'attivazione dell'unità, gli algoritmi di crittografia inizieranno automaticamente a lavorare in base alle preferenze utente.
Per l'utente, il funzionamento della chiavetta USB rimarrà invariato: potrà comunque scaricare e memorizzare file nella memoria del dispositivo, come con una normale chiavetta USB. L'unica differenza è che, collegando la chiavetta a un nuovo computer, sarà necessario inserire la password impostata per accedere alle proprie informazioni.
Perché e a chi servono le chiavette con crittografia hardware?
Per le organizzazioni in cui i dati riservati fanno parte dell'attività (che si tratti di istituzioni finanziarie, sanitarie o governative), la crittografia rappresenta il mezzo di protezione più sicuro. la crittografia hardware AES è una soluzione scalabile, utilizzabile da qualsiasi tipo di azienda: da privati e piccole imprese a grandi corporazioni, oltre a organizzazioni militari e governative. Se analizziamo la questione in modo più specifico, l'uso di USB crittografati è necessario:
- Per garantire la sicurezza dei dati sensibili dell'azienda
- Per proteggere le informazioni sui clienti
- Per proteggere le aziende dalla perdita di profitti e dal calo della fedeltà dei clienti
È importante notare che alcuni produttori di chiavette USB sicure (tra cui Kingston) offrono soluzioni personalizzate per le corporazioni, progettate in base alle esigenze e alle sfide dei clienti. Ma anche le linee di prodotto standard (come le chiavette DataTraveler) svolgono egregiamente il loro compito e possono garantire un livello di sicurezza di classe aziendale.
1. Garantire la sicurezza dei dati sensibili dell'azienda
Nel 2017, un residente di Londra ha trovato una chiavetta USB in uno dei parchi, contenente informazioni non protette riguardanti la sicurezza dell'aeroporto di Heathrow, inclusa la posizione delle telecamere di sorveglianza e dettagli sulle misure di protezione in caso di arrivo di personalità di alto livello. La chiavetta conteneva anche dati sui permessi elettronici e codici di accesso per aree riservate dell'aeroporto.
Gli analisti attribuiscono situazioni simili all'ignoranza informatica dei dipendenti delle aziende, che possono 'rilasciare' dati sensibili per negligenza. Le chiavette USB con crittografia hardware affrontano parzialmente questo problema, poiché in caso di smarrimento di tale dispositivo, accedere ai dati senza la password principale dello stesso dipendente della sicurezza non è possibile. In ogni caso, è necessario formare i dipendenti su come utilizzare le chiavette, anche quando si tratta di dispositivi protetti da crittografia.
2. Protezione delle informazioni sui clienti
Un'altra importante responsabilità per qualsiasi organizzazione è la protezione dei dati dei clienti, che non devono essere a rischio di compromissione. Questa informazione viene frequentemente scambiata tra diversi settori e, di solito, è di natura riservata: ad esempio, può contenere dati su transazioni finanziarie, storie cliniche e così via.
3. Protezione contro la perdita di profitti e la lealtà dei clienti
L'uso di dispositivi USB con crittografia hardware può aiutare a prevenire conseguenze devastanti per le organizzazioni. Le aziende che violano la legge sulla protezione dei dati personali possono essere multate per ingenti somme. Pertanto, è fondamentale porsi la domanda se valga la pena rischiare di scambiare informazioni senza una protezione adeguata.
Anche considerando solo le conseguenze finanziarie, il tempo e le risorse necessari per correggere gli errori di sicurezza possono essere altrettanto significativi. Inoltre, se una violazione dei dati compromette le informazioni sui clienti, l'azienda rischia di perdere la fiducia nel marchio, specialmente nei mercati dove ci sono concorrenti che offrono prodotti o servizi simili.
Chi garantisce l'assenza di 'backdoor' da parte del produttore nell'uso di chiavette USB con crittografia hardware?
Nella tematica che abbiamo sollevato, questa domanda è probabilmente una delle principali. Tra i commenti all'articolo sui dispositivi Kingston DataTraveler, abbiamo trovato un'altra domanda interessante: 'I vostri dispositivi hanno una revisione da parte di esperti indipendenti?'. Beh…, è un interesse del tutto legittimo: gli utenti vogliono essere certi che le nostre chiavette USB non presentino errori comuni, come una crittografia debole o la possibilità di bypassare l'inserimento della password. In questa parte dell'articolo, parleremo delle procedure di certificazione che attraversano i dispositivi Kingston, prima di ottenere lo status di vere chiavette sicure.
Chi garantisce l'affidabilità? Potremmo dire che "Kingston ha prodotto e quindi garantisce". Tuttavia, questa affermazione sarebbe errata, poiché il produttore è una parte interessata. Pertanto, tutti i prodotti vengono sottoposti a verifica da parte di terzi con un controllo indipendente. In particolare, i dispositivi di archiviazione Kingston con crittografia hardware (eccetto DTLPG3) sono partecipanti al programma di validazione dei moduli crittografici (Cryptographic Module Validation Program o CMVP) e certificati secondo lo standard federale di elaborazione delle informazioni (Federal Information Processing Standard o FIPS). Inoltre, i dispositivi di archiviazione sono certificati secondo gli standard GLBA, HIPAA, HITECH, PCI e GTSA.
1. Programma di validazione dei moduli crittografici
Il programma CMVP è un progetto congiunto del National Institute of Standards and Technology del Dipartimento del Commercio degli Stati Uniti e del Canadian Centre for Cybersecurity. L'obiettivo del progetto è stimolare la domanda di dispositivi crittografici verificati e fornire indicatori di sicurezza agli enti federali e ai settori regolamentati (come le istituzioni finanziarie e sanitarie) utilizzati nell'acquisto di attrezzature.
I test dei dispositivi per la conformità a un set di requisiti crittografici e di sicurezza sono condotti da laboratori indipendenti di crittografia e sicurezza, accreditati da NVLAP (National Voluntary Laboratory Accreditation Program / ‘Programma nazionale di accreditamento volontario dei laboratori’). In questo processo, ogni relazione di laboratorio viene verificata per conformità agli standard federali di elaborazione delle informazioni (FIPS) 140-2 e convalidata dal CMVP.
I moduli certificati secondo lo standard FIPS 140-2 sono raccomandati per l'uso da parte delle agenzie federali degli Stati Uniti e del Canada fino al 22 settembre 2026. Dopo tale data, entreranno in una lista di archiviazione, pur potendo essere ancora utilizzati. Il 22 settembre 2020 è scaduto il termine per le domande di validazione secondo lo standard FIPS 140-3. Dopo aver superato le verifiche, i dispositivi saranno trasferiti in un elenco attivo di dispositivi verificati e affidabili per cinque anni. Se un dispositivo crittografico non supera la verifica, il suo utilizzo nelle istituzioni pubbliche degli Stati Uniti e del Canada non è raccomandato.
2. Quali sono i requisiti di sicurezza richiesti dalla certificazione FIPS?
La violazione dei dati anche da un disco crittografato non certificato è difficile e alla portata di pochi, quindi nella scelta di un'unità di storage consumer per uso domestico, non è necessario preoccuparsi della certificazione. Nel settore aziendale, invece, la situazione è diversa: nella scelta di chiavette USB protette, le aziende spesso attribuiscono importanza ai livelli di certificazione FIPS. Tuttavia, non tutti hanno un'idea chiara di cosa significhino questi livelli.
Lo standard attuale FIPS 140-2 definisce quattro diversi livelli di sicurezza a cui possono conformarsi le unità flash. Il primo livello offre un set moderato di funzioni di sicurezza. Il quarto livello implica requisiti rigorosi per l'auto-protezione dei dispositivi. I livelli due e tre forniscono una gradazione di questi requisiti e rappresentano una sorta di compromesso.
- Primo livello di sicurezza: per le unità USB certificate di primo livello, è previsto l'uso di almeno un algoritmo di crittografia o di un'altra funzione di sicurezza.
- Secondo livello di sicurezza: qui si richiede che l'unità non solo garantisca la protezione crittografica, ma anche la registrazione di intrusioni non autorizzate a livello firmware, nel caso in cui qualcuno tenti di accedere all'unità.
- Terzo livello di sicurezza: prevede la prevenzione degli attacchi informatici tramite la distruzione delle «chiavi» di crittografia. Questo significa che è necessaria una reazione alle tentativi di accesso. Inoltre, il terzo livello garantisce una protezione superiore dalle interferenze elettromagnetiche: ciò implica che non sarà possibile leggere i dati da una chiavetta USB utilizzando dispositivi di hacking wireless.
- Quarto livello di sicurezza: il livello più alto, che fornisce una protezione totale del modulo crittografico, garantendo la massima probabilità di rilevamento e contrasto a qualsiasi tentativo di accesso non autorizzato da parte di utenti esterni. Le chiavette USB certificate di quarto livello includono anche opzioni di protezione che impediscono l'hacking attraverso la modifica della tensione e della temperatura ambientale.
Secondo lo standard FIPS 140-2, i seguenti dispositivi di archiviazione Kingston sono certificati di terzo livello: DataTraveler DT2000, DataTraveler DT4000G2, IronKey S1000, IronKey D300. La caratteristica principale di questi dispositivi è la loro capacità di rispondere a tentativi di accesso non autorizzato: dopo 10 tentativi di inserimento errato della password, i dati sul dispositivo verranno distrutti.
Cosa possono fare ancora le chiavette USB Kingston, oltre alla crittografia?
Quando si parla di sicurezza completa dei dati, oltre alla crittografia hardware delle chiavette USB, entrano in gioco antivirus integrati, protezione contro gli urti, sincronizzazione con i cloud personali e altre funzionalità, di cui discuteremo di seguito. Non c'è una grande differenza tra le chiavette con crittografia software. "Il diavolo" si nasconde nei dettagli. Ecco quali sono.
1. Kingston DataTraveler 2000
Prendiamo, ad esempio, una chiavetta USB . Questo è uno dei flash drive con crittografia hardware, ma è anche l'unico con una propria tastiera fisica integrata. Questa tastiera a 11 pulsanti rende il DT2000 completamente indipendente dai sistemi host (per utilizzare il DataTraveler 2000, devi premere il pulsante «Chiave», quindi inserire la tua password e premere di nuovo il pulsante «Chiave»). Inoltre, questa chiavetta offre una protezione IP57 contro acqua e polvere (sorpresasemente, Kingston non lo menziona da nessuna parte, né sulla confezione né nelle specifiche sul sito ufficiale).
All'interno del DataTraveler 2000 c'è una batteria agli ioni di litio (con una capacità di 40 mAh), e Kingston consiglia ai clienti di collegare l'unità a una porta USB per almeno un'ora prima di iniziare a usarla, affinché la batteria possa caricarsi. A proposito, in uno dei nostri precedenti articoli : non c'è motivo di preoccuparsi: nella base di ricarica la chiavetta non si attiva, poiché non ci sono richieste al controller da parte del sistema. Quindi nessuno potrà rubare i tuoi dati tramite intrusioni wireless.
2. Kingston DataTraveler Locker+ G3
Parlando del modello Kingston – attira l'attenzione grazie alla possibilità di impostare il backup dei dati da una chiavetta USB a uno spazio di archiviazione cloud come Google Drive, OneDrive, Amazon Cloud o Dropbox. È prevista anche la sincronizzazione dei dati con questi servizi.
Una delle domande che ci pongono i lettori è: “E come posso recuperare i dati crittografati dal backup?”. È molto semplice. Quando viene eseguita la sincronizzazione con il cloud, le informazioni vengono decrittografate, e la protezione del backup nel cloud dipende dalle capacità del servizio stesso. Pertanto, tali procedure vengono effettuate esclusivamente a discrezione dell'utente. Senza il suo consenso, non ci sarà alcun trasferimento di dati nel cloud.
3. Kingston DataTraveler Vault Privacy 3.0
Ecco i dispositivi Kingston vengono forniti anche con l'antivirus Drive Security di ESET. Questo protegge i dati dall'intrusione di virus, spyware, trojan, worm, rootkit e connessioni a computer esterni tramite chiavette USB. L'antivirus avvisa istantaneamente il proprietario della chiavetta di eventuali minacce potenziali, se dovessero essere rilevate. Inoltre, l'utente non deve installare autonomamente il software antivirus né pagare per questa opzione. ESET Drive Security è preinstallato sulla chiavetta USB con una licenza di cinque anni.
Il Kingston DT Vault Privacy 3.0 è stato progettato principalmente per professionisti IT. Permette agli amministratori di utilizzarlo come unità autonoma o di integrarlo come parte di una soluzione per la gestione centralizzata, e può essere utilizzato per la configurazione o il ripristino remoto delle password e la gestione delle politiche sui dispositivi. Kingston ha anche integrato USB 3.0, che consente di trasferire dati protetti molto più velocemente rispetto a USB 2.0.
In generale, DT Vault Privacy 3.0 è un'ottima soluzione per il settore aziendale e le organizzazioni che richiedono la massima protezione dei propri dati. È anche raccomandabile a tutti gli utenti che utilizzano computer su reti pubbliche.
Per ulteriori informazioni sui prodotti Kingston, contattate .
Fonte: habr.com
