Sårbarhed ved Bitlocker-kryptering nedtones af Microsoft
Med fortrolige data susende rundt på bærbare computere, USB-nøgler og mobiltelefoner er kryptering blevet nødvendigt for mange virksomheder.
Derfor var en forbedret udgave af Bitlocker, som også kunne sikre data på USB-nøgler, et af Microsofts salgsargumenter, da Windows 7 kom på gaden i oktober. Men tyske forskere fra det kendte Frauenhofer-institut har for nyligt undermineret den fornemmelse af 100 procent sikre data, som Microsoft gerne vil give kunderne, skriver Infoworld.com.
En hacker, som får adgang til computeren, kan ved at boote fra et flashdrev installere en falsk bootloader, som efterligner login-proceduren til den krypterede Windows-installation. Ved at opsnappe koden til at låse krypteringen op med denne bootloader, og få den tilsendt via internettet, kan hackeren så få adgang til alle data på computeren ved næste besøg.
Men Microsoft mener ikke, det er en risiko, der er værd at tale om. Før det kan lykkes, skal hackeren have fysisk adgang til computeren to gange, og ejeren skal logge ind på computeren imellem disse to besøg.
I øvrigt er det ikke en nyhed, lyder det fra Microsoft - allerede i 2006 gennemgik firmaet disse mulige scenarier for informationstyveri og har siden været åbne over for kunder og partnere om, at der er situationer, hvor Bitlocker ikke vil kunne stå imod.
Fraunhofer-forskerne understreger, at det ikke er en fejl ved Bitlocker, de har fundet, men det mener stadig, at det er vigtigt at gøre opmærksom på den slags mulige angreb. Mange brugere tror nemlig fejlagtigt, at hvis computerens indhold er krypteret, vil det være umuligt for en hacker at få adgang til dataene.
Metoden med to besøg og en falsk bootloader blev i øvrigt brugt af den israelske efterretningstjeneste Mossad, da en syrisk embedsmand fik stjålet en række fortrolige data om et atomprogram i Syrien.
Kommentarer (9)
Sårbarhed ved Bitlocker-kryptering ...
Fraunhofer-forskerne understreger, at det ikke er en fejl ved Bitlocker, de har fundet...
-
0 -
0
NEJ hvor er den overskrift dog langt ude, når man efterfølgende læser artiklen. Efter at have set flere eksempler vil jeg bare høre, om det kniber med annoncepengene, eller hvorfor I er begyndt på det?
-
0
-
0
Sådan er systemet designet, sikkerheden er hvad man teoretisk kan opnå på en almindelig bærbar. Så vidt vides har Microsoft lavet systemet perfekt indenfor de givne rammer, men det gør det ikke usårligt.
Fejl != sårbarhed
I øvrigt må jeg sige at konflikten i artiklen virker noget søgt. Parterne er enige om præcis hvad systemet kan og ikke kan.
-
0
-
0
Den eneste måde, det kan undgås på, er at bruge et andet stykke hardware, som ikke følger med computeren til at dekryptere disken med. Så snart nøglen til data er inde på computerens CPU, kan man i princippet komme rundt om systemmet med en Trojansk hest - det er oplagt.
-
0
-
0
BitLocker Drive Encryption is a full disk encryption feature included with the Ultimate and Enterprise editions of Microsoft's Windows Vista and Windows 7 desktop operating systems, as well as the Windows Server 2008 and Windows Server 2008 R2 server platforms. It is designed to protect data by providing encryption for entire volumes. By default it uses the AES encryption algorithm in CBC mode with a 128 bit key, combined with the Elephant diffuser for additional disk encryption specific security not provided by AES.[1][2]
BitLocker is available only in the Enterprise and Ultimate editions of Windows Vista and Windows 7.[1] Users of other versions of Windows Vista could use a 3rd party encryption program to satisfy the need for full drive encryption.
Med MS har det alle dage været sådan, at du får [måske] hvad du betaler for.
128 bit AES kryptering? Og "kun" i "Entreprise" og "Ultimate" udgaverne?? Med andre ord: Micsosoft giver ikke fem flade for kunder under den kategori.
Problemet er så, at MS ikke regner menig bruger for noget, man bør give samme grad af beskyttelse, som virksomheder. Det får mig til at tænke på, at var der ikke noget med, at allerede efter det første år på markedet var Vista's "kryptering" knækket? Igen - Du får, [måske], hvad du betaler for.
BTW - Kald så lige GNU/Linux "obsolete" igen. Hér er alle brugere dog trods alt den samme service værd, hvad enten du er privat person eller firma. Det' en om'er MS, for Gud véd hvilken gang.
-
0
-
0
@Jimmy: Jeg kan da også sætte en USB stick i din GNU/Linux maskine, fake en logon skærm og få dit root password, når du taster det ind.
Har du overhovedet læst artiklen? Alt hvad du skriver er i hvert fald off-topic og hører mere hjemme i comp.os.linux.advocacy.
-
0
-
0
@Lasse
Meget muligt, fessor. Du gør bare forsøget. Men inden du gør, så puds lige linserne i andet end svinefedt. Ja, jeg HAR læst artiklen, og ikke nok med, at MS gør som de plejer, nemlig INTET, så du er vist på den gale side af sund logik omkring din udtalelse m.h.t. GNU/Linux. Men igen, kom til staden, jeg har en pakke tudekiks der står og venter.
-
0
-
0
Glemte lige:
Noget i din måde at skrive på afslører at du er MS fan boy af de helt store. Det er KUN MS der bruger ordet "Logon" wiseguy.
-
0
-
0
Tilføj kommentar
