רכיבים

נתונים יכולים לדלוף מתוך דיסקים מוצפנים חלקית

Week 8, continued

Week 8, continued
Anonim

הם גילו כי תוכניות פופולריות כמו Word ו- Google Desktop לאחסן נתונים על מקטעים לא מוצפנים של הכונן הקשיח של המחשב - גם כאשר התוכניות פועלות עם קבצים מוצפנים. "המידע נשפך מהאזור המוצפן לאזור הלא מוצפן", אמר טדאיושי קוהנו, פרופסור באוניברסיטת וושינגטון בסיאטל ששיתף את המחקר.

הוא מאמין כי יש כנראה יישומים רבים אחרים ומערכת הפעלה רכיבים הדליפו מידע בצורה דומה. "אני חושד שמדובר בבעיה ענקית פוטנציאלית, אנחנו בעצם מפצחים את פני השטח", הוא אומר. החוקרים אומרים שאנשים המשתמשים בהצפנת דיסק מלא, שבה כל קובץ נתונים בכונן הקשיח שלהם מוצפן, לא צריך לדאוג. עם זאת, הבעיה נפתחת כאשר משתמשים יוצרים מחיצה מוצפנת או דיסק וירטואלי בכוננים הקשיחים שלהם, ומשאירים חלק מהכוננים ללא הצפנה, או אפילו כאשר הם מאחסנים נתונים על התקני USB מוצפנים (Universal Serial Bus), אמר Kohno. יודע כמה נתונים ניתן לשחזר דיסק מוצפן חלקית, אבל החוקרים אומרים שהם הצליחו לשחזר עותקים של רוב מסמכי Word שנוצרו עבור הניסוי שלהם מתוך התיקייה התאוששות אוטומטית של התוכנה, למרות המסמכים עצמם נשמרו לחלק מוצפן של הדיסק. "אנחנו פשוט לא יודעים כמה נתונים דולפים, אבל זה מספיק כדי להיות מודאג", אמר Kohno.

עם Google Desktop, החוקרים היו מסוגלים לקרוא תמונות של קבצים מוצפנים כאשר האפשרות 'חיפוש משופר' של התוכנית הופעלה.

הבעיה אינה באג ב- Word או ב- Google Desktop, אמר Kohno. במקום זאת, זוהי "בעיה עם האופן שבו יישומים אלה פועלים עם הדיסקים הווירטואליים המוצפנים", הוא אומר.

Kohno וצוותו, כולל הקריפטוגרף המפורסם ברוס שנייר, עשו את תגליתם תוך כדי התבוננות במערכות קבצים ניידות. אלה הם מערכות קבצים מוצפנים דורשים שני סיסמאות לפני שהם חושפים את התוכן המלא שלהם. הם נותנים למשתמש דרך לחשוף את סיסמת ההצפנה הראשונה מבלי לחשוף את התוכן המלא של הכונן הקשיח, מכיוון שמקטע מוסתר שני מוגן על ידי הסיסמה השנייה.

במבט על מערכת הקבצים הנפתחת TrueCrypt 5.1a, הם מצאו כי זה אותו סוג של דליפת נתונים התרחשה, לחשוף מידע זה צריך להיות מוגן על ידי הסיסמה השנייה של המערכת. לדברי החוקרים, תוכנת ה- TrueCrypt 6.0 האחרונה אכן מתקנת חלק מהבעיות הללו, אך עבודתם מראה כמה קשה להגן על כונן קשיח מוצפן חלקית.

המאמר שלהם מוצג בסדנה של Usenix HotSec, 29 ביולי בסן חוזה, קליפורניה