Lenovo'nun parmak izli 'şifreli' USB belleği düz SD kart çıktı

Güvenlik araştırmacısı Xusheng Li'nin analizine göre, veri güvenliği için AES-256 şifrelemeli cihaz olarak satılan Lenovo ThinkPlus FU100 parmak izli USB bellek, içeride sıradan bir SD karttan ibaret. Parmak izi okuyucu yalnızca USB bağlantısını etkinleştiriyor; karttaki verilerin ise hiçbir şekilde şifrelenmediği belirtiliyor.

Li, mart ayındaki bir konferans konuşmasında cihazı kısaca 'şık bir kutu içindeki SD kart' diye tanımladı. Bu durumda cihaza fiziksel erişimi olan herkesin içindeki verilere ulaşması son derece kolay. Araştırmacının çıkardığı derslerden biri şu: 'Donanım güvenliği' bazen salt bir pazarlama söylemi olabilir.

Lenovo'nun yamaları: epoksiden servis hattına

FU100 üzerindeki ilk analiz geçen yıl yapıldı ve ara çözüm olarak kartın üzerine epoksi sürüldü. Üreticilerin kendi şifrelemesinin başarısız olması ilk kez yaşanmıyor ve muhtemelen son da olmayacak.

Lenovo'nun bu yılın başında FU100, FU200 ve TU800 bellekleri ile TSD303 SSD için yayımladığı düzeltme ise kullanıcıdan Çin'deki bir servis hattını aramasını, ardından cihazı değişim için göndermesini ya da yerinde bellenim güncellemesi yaptırmasını istiyor. Şirket, önce verilerin yedeklenmesini ve gönderimden önce sürücünün silinmesini şiddetle öneriyor; bu da kullanıcı açısından hayli zahmetli bir süreç.

Lenovo, danışma bildiriminin önem derecesini yüksek olarak değerlendirdi. Bildirimdeki üç CVE'den biri yapılandırma yazılımını kapsıyor ve oturum açmış yerel bir kullanıcının cihaz kimlik doğrulamasını atlayarak güvenilmeyen bir parmak izi kaydedebilmesine olanak tanıyabiliyor.

TSD303'te parola düz metin olarak dolaşıyordu

Aynı araştırma, Lenovo'nun TSD303 harici SSD'sinde farklı bir açığı da ortaya çıkardı. Bu sürücüde veriler gerçekten şifreliydi; ancak doğru parola, yazılımın karşılaştırma yapabilmesi için USB üzerinden düz metin olarak geri gönderiliyordu. Bu da parolanın yakalanmasını kolaylaştırıyordu.

İlk düzeltme, ilk bildirimden üç ay sonra geldi ve zaman damgası benzeri bir değerden türetilen anahtarla blok şifreleme kullanıyordu. Ancak Lenovo'nun yazılımı bu anahtarı türetebiliyordu; dolayısıyla ilk yazılım düzeltmesi parçalarına ayrıldığında savunmasız kalıyor ve cihaz çalınırsa veriyi korumada işe yaramıyordu. Geçen yılın sonlarında gelen sonraki düzeltmede ise parolayı sürücünün kendisi denetliyor, böylece doğru parola cihazdan hiç çıkmıyor.

Aynı yazılım geliştirme kiti, birden çok üreticiye ait dokuz cihazı daha kapsıyordu. Bunların çoğu da bilgili bir saldırgana parolayı ele verebiliyordu; ikisi ise verileri bir microSD kartta şifresiz bırakıyordu. Üreticilerin tam listesi Li'nin slaytlarında karartılmıştı.

Yapay zekâ destekli tersine mühendislik başka ürünleri de kırdı

Geçen hafta yapılan yapay zekâ destekli bir takip çalışması, başka bir üreticinin sürücüsünde Li'nin 'arka kapı hesapları' olarak adlandırdığı yapıları ve diğer sözde güvenli USB depolama ürünlerinde sabit anahtarları ortaya çıkardı. Li, işvereninin tersine mühendislik aracını OpenAI'ın programlamaya odaklı yapay zekâ aracı Codex ile birlikte kullanarak başka üreticilerin koruma mekanizmalarını inceledi. Bunların bir kısmı klasik anlamda şifreleme değil, kopya koruması sunan ürünler; amaç alıcının dosyaları görüntüleyebilmesi ama kopyalayamamasıydı.

Netac'in aracı yaklaşık yedi dakikada kırıldı; Codex programa gömülü sabit bir anahtar buldu ve kullanıcı parolasının tanılama günlüklerine yazıldığını tespit etti. KakaSoft'un USB Copy Protection ürününde program kendi iç parolasını üretiyordu; Codex bunu yeniden oluşturup test dosyasının şifresini yaklaşık 26 dakikada, kullanıcı parolası olmadan çözdü. Nexcopy'nin Copy Secure ürününde ise görüntüleyici uygulamaya gömülü bir sertifika anahtarı açığa çıktı ve süreç yaklaşık 10 dakika sürdü.

SecZure'un YutianDun ürününde basit parolalara sahip iki gizli 'arka kapı' hesabı bulundu; bunlar zaman yolculuğu hata ayıklamasıyla, yani bir zaman çizelgesi izi üzerinde adım adım ilerlenerek keşfedildi. Li'nin yorumları, bu yapılarda kötü niyet olduğunun varsayılamayacağına işaret ediyor.

Li, KakaSoft, Nexcopy ve SecZure'u önceden uyarmadı; gerekçesi, saldırganın elindeki bir sürücünün kolayca geri çağrılıp güncellenemeyeceği. Netac'in ise Li'nin mart konuşması itibarıyla bir yaması yoktu. Araştırmacı, istemci tarafı doğrulamanın asla güvenli olmadığını vurguluyor ve güvenlik iddialarını kullanıcıların kendilerinin doğrulaması gerektiğini söylüyor. Doğru yapılmış bir örnek olarak ise microSD kart üzerine kurulu olsa da anahtarı kullanıcının parolasından türeten açık kaynaklı bir USB belleği gösteriyor; böyle bir cihazda yalnızca kartı okumak saldırgana hiçbir şey kazandırmıyor.