Το Windows Hello auth παρακάμπτεται σε φορητούς υπολογιστές Microsoft, Dell, Lenovo

[nnn]

Οι ερευνητές ασφαλείας παρέκαμψαν τον έλεγχο ταυτότητας με δακτυλικά αποτυπώματα Windows Hello σε φορητούς υπολογιστές Dell Inspiron, Lenovo ThinkPad και Microsoft Surface Pro X σε επιθέσεις που εκμεταλλεύονται ελαττώματα ασφαλείας που εντοπίζονται στους ενσωματωμένους αισθητήρες δακτυλικών αποτυπωμάτων.

Οι ερευνητές ασφάλειας της Blackwing Intelligence ανακάλυψαν ευπάθειες κατά τη διάρκεια έρευνας που χρηματοδοτήθηκε από την Microsoft Offensive Research and Security Engineering (MORSE) για την αξιολόγηση της ασφάλειας των τριών κορυφαίων ενσωματωμένων αισθητήρων δακτυλικών αποτυπωμάτων που χρησιμοποιούνται για τον έλεγχο ταυτότητας δακτυλικών αποτυπωμάτων του Windows Hello.

Οι Jesse D'Aguanno και Timo Teräs της Blackwing στόχευσαν ενσωματωμένους αισθητήρες δακτυλικών αποτυπωμάτων που κατασκευάστηκαν από την ELAN, τη Synaptics και την Goodix στο Microsoft Surface Pro X, στο Lenovo ThinkPad T14 και στο Dell Inspiron 15.

Όλοι οι δοκιμασμένοι αισθητήρες δακτυλικών αποτυπωμάτων ήταν αισθητήρες Match-on-Chip (MoC) με δικό τους μικροεπεξεργαστή και χώρο αποθήκευσης, επιτρέποντας την ασφαλή εκτέλεση της αντιστοίχισης δακτυλικών αποτυπωμάτων εντός του τσιπ.

Ωστόσο, ενώ οι αισθητήρες MoC εμποδίζουν την επανάληψη των αποθηκευμένων δεδομένων δακτυλικών αποτυπωμάτων στον κεντρικό υπολογιστή για αντιστοίχιση, δεν εμποδίζουν εγγενώς έναν κακόβουλο αισθητήρα να μιμείται τη νόμιμη επικοινωνία του αισθητήρα με τον κεντρικό υπολογιστή. Αυτό θα μπορούσε να υποδεικνύει λανθασμένα επιτυχή έλεγχο ταυτότητας χρήστη ή επανάληψη της κυκλοφορίας που παρατηρήθηκε προηγουμένως μεταξύ του κεντρικού υπολογιστή και του αισθητήρα.

Για να εξουδετερώσει επιθέσεις που θα εκμεταλλευόταν αυτές τις αδυναμίες, η Microsoft ανέπτυξε το Πρωτόκολλο Σύνδεσης Ασφαλούς Συσκευής (SDCP), το οποίο θα έπρεπε να είχε διασφαλίσει ότι η συσκευή δακτυλικών αποτυπωμάτων ήταν αξιόπιστη και υγιής και ότι η είσοδος μεταξύ της συσκευής δακτυλικών αποτυπωμάτων και του κεντρικού υπολογιστή ήταν προστατευμένη στις στοχευμένες συσκευές .

Παρόλα αυτά, οι ερευνητές ασφαλείας παρέκαμψαν επιτυχώς τον έλεγχο ταυτότητας Windows Hello χρησιμοποιώντας επιθέσεις man-in-the-middle (MiTM) και στους τρεις φορητούς υπολογιστές, αξιοποιώντας μια προσαρμοσμένη συσκευή Raspberry Pi 4 με Linux.

Σε όλη τη διαδικασία, χρησιμοποίησαν λογισμικό και υλικό αντίστροφης μηχανικής, διέλυσαν ελαττώματα κρυπτογραφικής εφαρμογής στο προσαρμοσμένο πρωτόκολλο TLS του αισθητήρα Synaptics και αποκωδικοποίησαν και εφάρμοσαν εκ νέου ιδιόκτητα πρωτόκολλα.

Σε φορητούς υπολογιστές Dell και Lenovo, η παράκαμψη ελέγχου ταυτότητας επιτεύχθηκε με την απαρίθμηση έγκυρων αναγνωριστικών και την εγγραφή του δακτυλικού αποτυπώματος του εισβολέα χρησιμοποιώντας το αναγνωριστικό ενός νόμιμου χρήστη των Windows (ο αισθητήρας Synaptics χρησιμοποίησε μια προσαρμοσμένη στοίβα TLS αντί για SDCP για την ασφάλεια της επικοινωνίας USB).

Για τη συσκευή Surface, της οποίας ο αισθητήρας δακτυλικών αποτυπωμάτων ELAN δεν διέθετε προστασία SDCP, χρησιμοποιούσε επικοινωνία USB καθαρού κειμένου και δεν διέθετε έλεγχο ταυτότητας, παραπλάνησαν τον αισθητήρα δακτυλικών αποτυπωμάτων αφού αποσύνδεσαν το κάλυμμα τύπου που περιείχε τον αισθητήρα και έστειλαν έγκυρες απαντήσεις σύνδεσης από τη πλαστογραφημένη συσκευή.

by Google Translate

Πηγή : Bleeping Computer

[BlueChris]

Δηλαδή μπαίνει μαιμού σένσορας στο μηχάνημα (usb ή όπως αλλιώς θες) και χακαρισμένος αυτός ο σένσορας δίνει τα στοιχεία του άλλου? δεν το καταλαβαίνω που θα βρουν τα στοιχεία του original σένσορα και διάβασα και το εγγλέζικο γιατί η μετάφραση είναι....

nnn μήπως να βάζεις τα αγγλικά κείμενα ατόφια και σπόιλερ τη μετάφραση? λέω γω τώρα

[zardoz]

Για να ΜΗΝ μπορεί κάποιος να βάλει μαιμού αισθητήρα και να μπεί, οι κατασκευαστές υλοποιούν το SDCP (δες https://github.com/microsoft/SecureD...ectionProtocol )

Εκτός της ELAN που δε το υλοποιούσε οπότε,... ότι να ναι, οι άλλοι που το υλοποιούσαν - οι ερευνητές αξιοποιήσαν ευπάθειες
της υλοποίησης του TLS στο SDCP ώστε να κοροϊδέψουν το λειτουργικό να "αποδεχτεί" τον αισθητήρα ως νόμιμο.

[BlueChris]

Για να ΜΗΝ μπορεί κάποιος να βάλει μαιμού αισθητήρα και να μπεί, οι κατασκευαστές υλοποιούν το SDCP (δες https://github.com/microsoft/SecureD...ectionProtocol )

Εκτός της ELAN που δε το υλοποιούσε οπότε,... ότι να ναι, οι άλλοι που το υλοποιούσαν - οι ερευνητές αξιοποιήσαν ευπάθειες
της υλοποίησης του TLS στο SDCP ώστε να κοροϊδέψουν το λειτουργικό να "αποδεχτεί" τον αισθητήρα ως νόμιμο.

Συνεχίζω να μην καταλαβαίνω το "θα μπει". Πως θα μάθει ο άλλος τα βιομετρικά κάποιου άλλου?

- - - Updated - - -

Ωπα τώρα το έπιασα... αλλάζεις τον αισθητήρα με μαϊμού και ο άλλος μαθαίνει στο μηχάνημα το fingerprint του για να μπαίνει αλλά δεν είναι ασφαλές και μπορεί κάποιος να το υποκλέψει... ουφ επιτέλους κατάλαβα. Σχώρα με.. τα χρόνια πέρασαν

[zardoz]

Συνεχίζω να μην καταλαβαίνω το "θα μπει". Πως θα μάθει ο άλλος τα βιομετρικά κάποιου άλλου?

- - - Updated - - -

Ωπα τώρα το έπιασα... αλλάζεις τον αισθητήρα με μαϊμού και ο άλλος μαθαίνει στο μηχάνημα το fingerprint του για να μπαίνει αλλά δεν είναι ασφαλές και μπορεί κάποιος να το υποκλέψει... ουφ επιτέλους κατάλαβα. Σχώρα με.. τα χρόνια πέρασαν

Τα πράγματα είναι ακόμα χειρότερα δυστυχώς.

ΔΕΝ χρειάζεται να αλλάξεις τον sensor. Δυστυχώς οι sensors είναι ακόμα βασισμένοι στο usb interface (secure), και υλοποιούν SDCP μέσω κάποιου custom TLS layer.
Ουσιαστικά σκέψου το σαν SSL over USB.

Μπαίνεις Man-in-the-middle στο USB interface αυτό δηλαδή ανάμεσα στο sensor και στο mobo και μελετάς την κίνηση και, όταν χρειαστεί, την αναπαράγεις
την δίδοντας valid login responces.

Ακόμα χειρότερα χωρίς SDCP (βλέπε... Synaptics) δεν χρειάζεται καν να το κάνεις αυτό, αποσυνδέεις το sensor, βάζεις απλό hw και στέλνεις valid login μέσω
clear text USB commands.

Κανονικά όλο το πρόβλημα αποδίδεται στην κακή υλοποίηση του SDCP, αν και χωρίς third party authentication (πχ kerveros) είναι δύσκολο να μπλοκάρεις
MITM attacks (μιλάω για το TLS/SSL over USB). Αν μπορούσε να ρωτήσει ανεξάρτητα το λειτουργικό κάποιον τρίτο την εξής ερώτηση: "είναι η επικοινωνία
μου με το sensor ΧΧΧΧΧΧ έγκυρη βαση αυτών των πιστοποιητικών και ο τρίτος απαντούσε ΟΧΙ δεν τον ξέρω τον κύριο σενσορα, θα μπορούσες να κάνεις κάτι)

[BlueChris]

Τα πράγματα είναι ακόμα χειρότερα δυστυχώς.

ΔΕΝ χρειάζεται να αλλάξεις τον sensor. Δυστυχώς οι sensors είναι ακόμα βασισμένοι στο usb interface (secure), και υλοποιούν SDCP μέσω κάποιου custom TLS layer.
Ουσιαστικά σκέψου το σαν SSL over USB.

Μπαίνεις Man-in-the-middle στο USB interface αυτό δηλαδή ανάμεσα στο sensor και στο mobo και μελετάς την κίνηση και, όταν χρειαστεί, την αναπαράγεις
την δίδοντας valid login responces.

Ακόμα χειρότερα χωρίς SDCP (βλέπε... Synaptics) δεν χρειάζεται καν να το κάνεις αυτό, αποσυνδέεις το sensor, βάζεις απλό hw και στέλνεις valid login μέσω
clear text USB commands.

Κανονικά όλο το πρόβλημα αποδίδεται στην κακή υλοποίηση του SDCP, αν και χωρίς third party authentication (πχ kerveros) είναι δύσκολο να μπλοκάρεις
MITM attacks (μιλάω για το TLS/SSL over USB). Αν μπορούσε να ρωτήσει ανεξάρτητα το λειτουργικό κάποιον τρίτο την εξής ερώτηση: "είναι η επικοινωνία
μου με το sensor ΧΧΧΧΧΧ έγκυρη βαση αυτών των πιστοποιητικών και ο τρίτος απαντούσε ΟΧΙ δεν τον ξέρω τον κύριο σενσορα, θα μπορούσες να κάνεις κάτι)

Κατάλαβα, ευχαριστώ. Άσχετο αλλά γιατί μόνο αυτές οι μάρκες? Το Toshiba που έχω με fingerprint εγώ είναι οκ δηλαδή?

[Freak]

Απαπαπα, τρύπια η ασφάλεια των αισθητήρων με απλά λόγια

[zeronero]

Άσχετο αλλά γιατί μόνο αυτές οι μάρκες? Το Toshiba που έχω με fingerprint εγώ είναι οκ δηλαδή?

...αισθητήρες δακτυλικών αποτυπωμάτων που κατασκευάστηκαν από την ELAN, τη Synaptics και την Goodix στο Microsoft Surface Pro X, στο Lenovo ThinkPad T14 και στο Dell Inspiron 15...

Αν καταλαβαίνω καλά, δεν είναι σε επίπεδο μάρκας, αλλά σε επίπεδο μοντέλου.
Πχ. ο Dell Latitude 5530 που έχω αναφέρει Broadcom Corporation ως κατασκευαστή για το fp touch sensor.
O zardoz θα μας διαφωτίσει.

[zardoz]

Αν καταλαβαίνω καλά, δεν είναι σε επίπεδο μάρκας, αλλά σε επίπεδο μοντέλου.
Πχ. ο Dell Latitude 5530 που έχω αναφέρει Broadcom Corporation ως κατασκευαστή για το fp touch sensor.
O zardoz θα μας διαφωτίσει.

Αν είναι (πιθανότατο) usb interfaced (όπως ο broadcom usb/405/0a5c:5834) προς το ίδιο πρόβλημα ρέπει, απλά δεν ασχολήθηκαν
μαζί του. Από την άλλη, αν η Broadcom υλοποίησε σωστά το SDCP, θα είναι πάρα πολύ δύσκολο να γίνει man in the middle γιατί...

όπως αναφέρει και το paper της microsoft ( https://github.com/Microsoft/SecureD...ction-Protocol )

The input MUST be authenticated.
The input MUST NOT be replayable.
The input MUST be "fresh" (i.e. nothing in the pipeline has held on to it and used it later).

δηλαδή ΚΑΘΕ νέο handshake που θα ξεκινήσει το TLS δεν πρέπει να επαναληφθεί ΠΟΤΕ ούτε
να είναι ξανά valid στο μέλλον, αλλιώς κάποιος θα το προσωμοιώσει και θα παριστάνει τον sensor.

Συνήθως η θεωρία είναι σωστή και ανθεκτική στη κρυπτανάλυση, οι υλοποιήσεις κάνουν τις ανοησίες.

[dkgr_ser]

Ενώ τέτοιες επιθέσεις είναι ενδιαφέρουσες για paper, στην πράξη αμφιβάλω προσωπικά ότι αλλάζουν κάτι. Στην προκειμένη περίπτωση, πρέπει κάποιος να αποκτήσει φυσική πρόσβαση στο μηχάνημα και να καταβαλει πολύ προσπάθεια για την υλοποίηση της επίθεσης. Λίγο πολύ, πρόκειται για κάτι που είναι εφαρμόσιμο σε συνθήκες εργαστηρίου και για υπολογιστές στόχων πολύ μεγάλης αξίας. Απλά, σε εκείνη την περίπτωση, οι βιομετρικοί αισθητήρες έχουν έτσι κι αλλιώς διάφορα προβλήματα με false positives και μπορούν να ξεγελαστούν προς το παρόν, αν κάποιος είναι διατεθιμένος να φάει χρόνο και χρήμα. Γι' αυτό δε θα εμπιστευόμουν με τα σημερινά δεδομένα το key για decrypt του δίσκου να προέρχεται από εξωτερικό αισθητήρα, αν πραγματικά με ένοιαζε να μην ανοίγει ούτε σε περίπτωση που μου κλέψουν το μηχάνημα.

[zardoz]

Ενώ τέτοιες επιθέσεις είναι ενδιαφέρουσες για paper, στην πράξη αμφιβάλω προσωπικά ότι αλλάζουν κάτι. Στην προκειμένη περίπτωση, πρέπει κάποιος να αποκτήσει φυσική πρόσβαση στο μηχάνημα και να καταβαλει πολύ προσπάθεια για την υλοποίηση της επίθεσης. Λίγο πολύ, πρόκειται για κάτι που είναι εφαρμόσιμο σε συνθήκες εργαστηρίου και για υπολογιστές στόχων πολύ μεγάλης αξίας. Απλά, σε εκείνη την περίπτωση, οι βιομετρικοί αισθητήρες έχουν έτσι κι αλλιώς διάφορα προβλήματα με false positives και μπορούν να ξεγελαστούν προς το παρόν, αν κάποιος είναι διατεθιμένος να φάει χρόνο και χρήμα. Γι' αυτό δε θα εμπιστευόμουν με τα σημερινά δεδομένα το key για decrypt του δίσκου να προέρχεται από εξωτερικό αισθητήρα, αν πραγματικά με ένοιαζε να μην ανοίγει ούτε σε περίπτωση που μου κλέψουν το μηχάνημα.

Έχεις απόλυτο δίκιο, είναι συνθήκες εργαστηρίου. Αν οι αρχές/κράτος/υπηρεσίες κατάσχουν πχ ένα laptop από κάποιον εξαφανισμένο κάτοχο, έχει κάποιο νόημα.

Από την άλλη, αν κάποιος είναι μανιακός της ασφάλειας και έχει windows, όπως έχω ξαναγράψει

1. Μπορεί να βγάλει δακτυλικά και ανοησίες

2. Να απενεργοποιήσει το bitlocker (και να περιμένει να τελειώσει η αποκρυπτογράφηση δίνοντας τακτικά CMD -> MANAGE-BDE -status)

3. Να βγάλει ΚΑΘΕ microsoft account από το μηχανάκι του (γιατί η microsoft κρατά το bitlocker recovery key σε κάθε login και είμαι απολύτως σίγουρος ότι θα το δώσει αν ζητηθεί από κάποια κυβέρνηση)

4. Να "γυρίσει" το bitlocker σε AES 256:
gpedit σαν διαχειριστής->Administrative templates->windows components->bitlocker drive encryption->choose drive encryption method - check: AES256 + reboot

5. Να ενεργοποιήσει ξανά το bitlocker (και να περιμένει να τελειώσει η κρυπτογράφηση δίνοντας τακτικά CMD -> MANAGE-BDE -status)

6. Reboot ΑΦΟΥ ΤΕΛΕΙΩΣΕΙ η κρυπτογράφηση

7. Να προσθέσει pre-boot bitlocker pin για τον δίσκο

manage-bde -protectors -add c: -TPMAndPIN

και να κρατήσει κάπου με ασφάλεια (πχ σε προσωπική φωτογραφία) τους protectors:

manage-bde -protectors -get C:

Έτσι σε κάθε boot θα του ζητά pin και (χωρίς microsoft account) η microsoft ΔΕΝ έχει το VMK (Volume Master Key) του δίσκου
Το κλειδί αποκρυπτογράφησης VFEK τώρα αναπαράγεται από το TPM και το PIN

Xωρίς το PIN, πάπαλα.

[BlueChris]

Έχεις απόλυτο δίκιο, είναι συνθήκες εργαστηρίου. Αν οι αρχές/κράτος/υπηρεσίες κατάσχουν πχ ένα laptop από κάποιον εξαφανισμένο κάτοχο, έχει κάποιο νόημα.

Από την άλλη, αν κάποιος είναι μανιακός της ασφάλειας και έχει windows, όπως έχω ξαναγράψει

1. Μπορεί να βγάλει δακτυλικά και ανοησίες

2. Να απενεργοποιήσει το bitlocker (και να περιμένει να τελειώσει η αποκρυπτογράφηση δίνοντας τακτικά CMD -> MANAGE-BDE -status)

3. Να βγάλει ΚΑΘΕ microsoft account από το μηχανάκι του (γιατί η microsoft κρατά το bitlocker recovery key σε κάθε login και είμαι απολύτως σίγουρος ότι θα το δώσει αν ζητηθεί από κάποια κυβέρνηση)

4. Να "γυρίσει" το bitlocker σε AES 256:
gpedit σαν διαχειριστής->Administrative templates->windows components->bitlocker drive encryption->choose drive encryption method - check: AES256 + reboot

5. Να ενεργοποιήσει ξανά το bitlocker (και να περιμένει να τελειώσει η κρυπτογράφηση δίνοντας τακτικά CMD -> MANAGE-BDE -status)

6. Reboot ΑΦΟΥ ΤΕΛΕΙΩΣΕΙ η κρυπτογράφηση

7. Να προσθέσει pre-boot bitlocker pin για τον δίσκο

manage-bde -protectors -add c: -TPMAndPIN

και να κρατήσει κάπου με ασφάλεια (πχ σε προσωπική φωτογραφία) τους protectors:

manage-bde -protectors -get C:

Έτσι σε κάθε boot θα του ζητά pin και (χωρίς microsoft account) η microsoft ΔΕΝ έχει το VMK (Volume Master Key) του δίσκου
Το κλειδί αποκρυπτογράφησης VFEK τώρα αναπαράγεται από το TPM και το PIN

Xωρίς το PIN, πάπαλα.

Ερώτηση, η κρυπτογράφηση 256 είναι hardware ? Την κάνει η cpu δηλαδή χωρίς κόπο? Αν ναι, πόσο ψηλά μπορείς να πας?

[zardoz]

Ερώτηση, η κρυπτογράφηση 256 είναι hardware ? Την κάνει η cpu δηλαδή χωρίς κόπο? Αν ναι, πόσο ψηλά μπορείς να πας?

Όσον αφορά τα bit sizes:

Στο bitlocker ως τώρα πας είτε AES-128 είτε AES-256 για την κρυπτογράφηση. Και οι δύο είναι πάρα πολύ δυνατοί.

Το FVEK (Full Volume Encryption Key) είναι ακριβώς ίδιου μεγέθους (128 ή 256 bit)

Το FVEK παράγεται από ένα VMK (Volume Master Key) που είναι πάντα 256 bit

To VMK κωδικοποιείται με ένα έναν (ή περισσότερους Key Protectors, πχ το pin που είπα πάνω) με SHA-256 και
SALT και σώζεται στο δίσκο

Οι Key Protectors πάνε στο TPM. Αν είναι 2.0 δε μπορούν να σπαστούν. Αν έχεις μόνο pin key protector, πάει...
στο μυαλό σου (και όχι στο TPM) και μόνο αν το πεις εσύ μπορεί να αναπαραχθεί ή αντιστροφή
pin -> key protector -> VMK -> FVEK -> AES εφόσον φυσικά δεν έχεις άλλους key protectors
και κάποιος στους κλέψει.

Όσον αφορά το hardware

Όσο και αν ψάξεις σαφή άκρη ΔΕν θα βγάλεις.

Εννοείται ότι το software αξιοποιεί vector εντολές αν η CPU τις διαθέτει για τον AES οπότε εννοείται (πάλι) ότι σε καλύτερες CPU
πολλά πράγματα γίνονται απίστευτα ταχύτερα. Υπάρχουν σχετικά τεστ που λένε διάφορα αλλά δεν πιστεύω κανένα γιατί το
λειτουργικό ΔΕΝ κάνει random ούτε butterfly reads που καθυστερούν στην αποκρυπτογράφηση. Μόνο βάσεις δεδομένων
έχουν ζητήματα ταχύτητας με την κρυπρογράφηση, αλλά που να τους πείσεις....

Αν ο δίσκος υποστηρίζει IEEE1667 και κάποιο encryption πχ TCG OPAL (μπορείς πχ να δεις ένα readme από την Kingston) και το ενεργοποιήσεις ΠΡΙΝ
εγκαταστήσεις τα windows, το AES γίνεται από το hardware του δίσκου.

Απ' όσο ξέρω, οι VnME δίσκοι δεν υποστηρίζουν IEEE1667 (ακόμα) αλλά δε το παρακολουθώ και πολύ το σπορ.

Μόνο και μόνο τότε θα δεις με την εντολή manage-bde.exe -status αποτελέσματα με hardware encryption.

Και πάλι VMK, VFEK κλπ λειτουργούν όπως πριν, το loop του AES γίνεται από τον controller του δίσκου.

[BlueChris]

Όσον αφορά τα bit sizes:

Στο bitlocker ως τώρα πας είτε AES-128 είτε AES-256 για την κρυπτογράφηση. Και οι δύο είναι πάρα πολύ δυνατοί.

Το FVEK (Full Volume Encryption Key) είναι ακριβώς ίδιου μεγέθους (128 ή 256 bit)

Το FVEK παράγεται από ένα VMK (Volume Master Key) που είναι πάντα 256 bit

To VMK κωδικοποιείται με ένα έναν (ή περισσότερους Key Protectors, πχ το pin που είπα πάνω) με SHA-256 και
SALT και σώζεται στο δίσκο

Οι Key Protectors πάνε στο TPM. Αν είναι 2.0 δε μπορούν να σπαστούν. Αν έχεις μόνο pin key protector, πάει...
στο μυαλό σου (και όχι στο TPM) και μόνο αν το πεις εσύ μπορεί να αναπαραχθεί ή αντιστροφή
pin -> key protector -> VMK -> FVEK -> AES εφόσον φυσικά δεν έχεις άλλους key protectors
και κάποιος στους κλέψει.

Όσον αφορά το hardware

Όσο και αν ψάξεις σαφή άκρη ΔΕν θα βγάλεις.

Εννοείται ότι το software αξιοποιεί vector εντολές αν η CPU τις διαθέτει για τον AES οπότε εννοείται (πάλι) ότι σε καλύτερες CPU
πολλά πράγματα γίνονται απίστευτα ταχύτερα. Υπάρχουν σχετικά τεστ που λένε διάφορα αλλά δεν πιστεύω κανένα γιατί το
λειτουργικό ΔΕΝ κάνει random ούτε butterfly reads που καθυστερούν στην αποκρυπτογράφηση. Μόνο βάσεις δεδομένων
έχουν ζητήματα ταχύτητας με την κρυπρογράφηση, αλλά που να τους πείσεις....

Αν ο δίσκος υποστηρίζει IEEE1667 και κάποιο encryption πχ TCG OPAL (μπορείς πχ να δεις ένα readme από την Kingston) και το ενεργοποιήσεις ΠΡΙΝ
εγκαταστήσεις τα windows, το AES γίνεται από το hardware του δίσκου.

Απ' όσο ξέρω, οι VnME δίσκοι δεν υποστηρίζουν IEEE1667 (ακόμα) αλλά δε το παρακολουθώ και πολύ το σπορ.

Μόνο και μόνο τότε θα δεις με την εντολή manage-bde.exe -status αποτελέσματα με hardware encryption.

Και πάλι VMK, VFEK κλπ λειτουργούν όπως πριν, το loop του AES γίνεται από τον controller του δίσκου.

Ευχαριστώ. Βασικά ρωτάω γιατί σκέφτομαι μήπως κάνω encryption στα data της εταιρείας. Μπορώ να πάρω και δίσκους που να υποστηρίζουν hardware encryption στις συστοιχίες αλλά θα το ψάξω πιο βαθιά το θέμα.

[xdoc]

Όσον αφορά τα bit sizes:

Στο bitlocker ως τώρα πας είτε AES-128 είτε AES-256 για την κρυπτογράφηση. Και οι δύο είναι πάρα πολύ δυνατοί.

Το FVEK (Full Volume Encryption Key) είναι ακριβώς ίδιου μεγέθους (128 ή 256 bit)

Το FVEK παράγεται από ένα VMK (Volume Master Key) που είναι πάντα 256 bit

To VMK κωδικοποιείται με ένα έναν (ή περισσότερους Key Protectors, πχ το pin που είπα πάνω) με SHA-256 και
SALT και σώζεται στο δίσκο

Οι Key Protectors πάνε στο TPM. Αν είναι 2.0 δε μπορούν να σπαστούν. Αν έχεις μόνο pin key protector, πάει...
στο μυαλό σου (και όχι στο TPM) και μόνο αν το πεις εσύ μπορεί να αναπαραχθεί ή αντιστροφή
pin -> key protector -> VMK -> FVEK -> AES εφόσον φυσικά δεν έχεις άλλους key protectors
και κάποιος στους κλέψει.

Όσον αφορά το hardware

Όσο και αν ψάξεις σαφή άκρη ΔΕν θα βγάλεις.

Εννοείται ότι το software αξιοποιεί vector εντολές αν η CPU τις διαθέτει για τον AES οπότε εννοείται (πάλι) ότι σε καλύτερες CPU
πολλά πράγματα γίνονται απίστευτα ταχύτερα. Υπάρχουν σχετικά τεστ που λένε διάφορα αλλά δεν πιστεύω κανένα γιατί το
λειτουργικό ΔΕΝ κάνει random ούτε butterfly reads που καθυστερούν στην αποκρυπτογράφηση. Μόνο βάσεις δεδομένων
έχουν ζητήματα ταχύτητας με την κρυπρογράφηση, αλλά που να τους πείσεις....

Αν ο δίσκος υποστηρίζει IEEE1667 και κάποιο encryption πχ TCG OPAL (μπορείς πχ να δεις ένα readme από την Kingston) και το ενεργοποιήσεις ΠΡΙΝ
εγκαταστήσεις τα windows, το AES γίνεται από το hardware του δίσκου.

Απ' όσο ξέρω, οι VnME δίσκοι δεν υποστηρίζουν IEEE1667 (ακόμα) αλλά δε το παρακολουθώ και πολύ το σπορ.

Μόνο και μόνο τότε θα δεις με την εντολή manage-bde.exe -status αποτελέσματα με hardware encryption.

Και πάλι VMK, VFEK κλπ λειτουργούν όπως πριν, το loop του AES γίνεται από τον controller του δίσκου.

αν μιλάμε για λαπτοπ χωρίς ΤΡΜ εχουν κάποια αξία αυτα ?