Исследователи из Университета Радбуда обнаружили критические уязвимости безопасности на нескольких популярных жестких дисках Crucial и Samsung (SSD), которые, как они говорят, могут быть легко использованы для восстановления зашифрованных данных, не зная пароля.

Исследователи, которые подробно изложили свои выводы в новой статье в понедельник, обратили внимание на прошивку нескольких дисков, чтобы найти «шаблон критических проблем» для производителей устройств.

В случае одного диска главный пароль, используемый для дешифрования данных жесткого диска, был просто пустой строкой и может быть легко использован, перевернув один бит в памяти накопителя. Другой жесткий диск можно разблокировать с помощью «любого пароля», испортив проверки пароля накопителя.

Это не было бы большой проблемой, если бы затронутый диск также использовал шифрование программного обеспечения для защиты своих данных. Но исследователи обнаружили, что в случае с операционной системой Windows часто политика по умолчанию для шифрования диска на основе программного обеспечения BitLocker заключается в том, чтобы доверять диску - и, следовательно, полностью полагаться на аппаратное шифрование устройства для защиты данных. Тем не менее, как выяснили исследователи, если аппаратное шифрование выдает ошибку, то BitLocker практически ничего не предпринимает для предотвращения кражи данных.

Другими словами, пользователи «не должны полагаться исключительно на аппаратное шифрование, предлагаемое SSD для обеспечения конфиденциальности», - сказали исследователи.

Алан Вудворд (Alan Woodward), профессор Университета Суррея, сказал, что наибольший риск для пользователей - это безопасность диска, который «падает с ошибкой».

«Возможно, вы подумали, что сделали правильную вещь, которая позволяет BitLocker шифровать данные, но затем сторонняя ошибка подрывает вашу безопасность, и вы никогда это не узнаете», - сказал он, обращаясь к производителям жестких дисков.

Мэтью Грин, профессор криптографии Джона Хопкинса, описал недостаток BitLocke в шифровании «как прыжок с самолета с зонтиком вместо парашюта».

Исследователи заявили, что их результаты еще не являются окончательными и находятся на стадии экспертной оценки. Но исследование было обнародовано после раскрытия ошибок разработчикам дисков в апреле.

Известно, что уязвимость распространяется на жесткие диски Crucial MX100, MX200 и MX300, внешние диски Samsung T3 и T5 USB и внутренние жесткие диски Samsung 840 EVO и 850 EVO, но исследователи предупреждают, что многие другие диски также могут находиться в зоне риска.

Исследователи критиковали фирменную и закрытую криптографию производителей устройств, которые, по их словам, и доказали, «часто демонстрируют, что на практике они намного слабее», чем их криптографические библиотеки с открытым исходным кодом. «Производители, которые серьезно относятся к безопасности, должны публиковать свои криптограммы и соответствующий код, чтобы требования безопасности могли быть независимо проверены», - пишут они.

Исследователи рекомендуют использовать программное шифрование, например, программное обеспечение VeraCrypt с открытым исходным кодом, чтобы закрыть уязвимость жестких дисков.

В совете Samsung также рекомендовали пользователям устанавливать программное обеспечение для шифрования, чтобы предотвратить любое «потенциальное нарушение самошифрующихся SSD». У владельца Crucial Micron, как сообщается, есть пути решения данной проблемы, согласно рекомендациям Национального центра кибербезопасности Нидерландов, но когда уязвимость будет устранена, не сообщается.