SanDisk和Verbatim与Kingston一起警告一些USB闪存驱动器的所有者，他们应该更新他们的设备，以防止允许黑客访问他们的数据的安全漏洞。
SanDisk Corp .)和逐字集团。已与金斯顿科技公司(Kingston Technology Inc.)一起警告客户，USB闪存盘上基于硬件的AES 256位加密存在漏洞，可能对安全构成威胁。
该漏洞可以通过绕过主机上的密码授权软件，允许未经授权的访问USB闪存驱动器上的加密数据。
“这真的很繁重。这是一个愚蠢的密码错误，他们搞砸了，他们应该为此感到尴尬，”密码学家和计算机安全专家布鲁斯·施奈尔(Bruce Schneier)说。
逐字警告说存在安全漏洞存在于其逐字企业安全和企业安全FIPS版系列USB闪存驱动器;SanDisk把威胁告诉了老板和它的Cruzer有关企业USB闪存驱动器系列。两家公司都发布了在线应用程序升级来解决这个问题。
根据SanDisk和Verbatim，安全问题仅适用于在主机系统上运行的应用程序;它并不适用于驱动器本身或驱动器的固件。”《计算机世界》本周早些时候报道因为同样的问题，金斯顿召回了DataTraveler安全USB闪存驱动器，以便对设备进行更新。受影响的金斯顿型号包括DataTraveler BlackBox、DataTraveler安全-隐私版和DataTraveler精英-隐私版。
这三家公司都声称他们的USB驱动器符合联邦信息处理标准(FIPS) 140-2的安全标准。FIPS是一种美国政府标准，用于为设备授予加密算法的授权。该标准由美国国家标准与技术协会(NIST)开发，包括硬件和软件组件。fips140覆盖了四个级别的安全。
“市面上有很多认证，它们的意义非常不同，”施奈尔说。“这些认证更多的是营销，而不是真正的安全。”
存储公司吹捧FIPS 140-2认证是其中的一部分他们的营销材料该公司表示，他们的设备足够安全，可以供政府机构使用。因为安全问题然而，在过去，政府已经被禁止了雇员使用可移动的flash媒体设备。
NIST认证是什么意思?这是一个好标准还是一个坏标准?这当然是问题所在，”Schneier说。“如果你看看NIST认证，它意味着……硬件有一定程度的防篡改能力这意味着它很好吗?没有。”
德国安全公司SySS GmbH发现了这个漏洞测试驱动器的安全性并设计了代码每一个设备这修改了在计算机内存中运行的软件，该软件告诉计算机要始终授权密码——无论是谁输入的密码或密码是什么。
Schneier表示，NIST可能不得不修改其认证标准，以覆盖SySS发现的基于硬件的加密漏洞。
在回应Computerworld的调查时，NIST表示，他们已经意识到该漏洞涉及多个FIPS 140-2验证的USB驱动器，目前正在审查有关该漏洞的信息。
根据NIST的说法，FIPS 140-2认证只涉及加密模块，这些模块将数据加密成无法破译的格式。只有输入正确的密码、密钥或模块处理的其他身份验证方法，才能对数据进行解密和检索。
“从我们最初的分析来看，似乎是授权解密的软件，而不是NIST认证的加密模块，是这个漏洞的来源，”一份声明说。“不过，我们正积极调查是否应因应这个问题对NIST认证程序作出任何改变。”
据位于加州喷泉谷的金斯顿称，安全漏洞涉及硬盘处理密码的方式。根据金斯顿的说法，“一个熟练的人，只要有合适的工具和对硬盘的物理访问，就可以获得对包含在DataTraveler加密USB驱动器中的数据的未经授权的访问。”
金斯顿的一位发言人表示，该公司不会就该安全漏洞的任何细节发表评论，因为“我们所说的任何话(可能会)给其他黑客提供燃料和线索”，帮助他们破解硬盘的安全特性。
安全漏洞似乎出现在主机内存的密码认证过程中。当某家公司的一个新u盘首次被使用时，设备上的软件会告诉电脑这是一个CD ROM，允许电脑在设置好密码后自动要求输入密码来解锁设备上的数据。当用户的密码存储在USB驱动器上时，身份验证代码在PC或服务器的CPU上运行。
最终，每家公司的主机系统的验证密码在其所有设备上都是相同的。
“如果黑客是能够找到这些默认的字符集,所有他们需要做的就是回报,他们将获得加密数据驱动,”David Jevans说高端USB制造商铁将军”公司的首席执行官铁键使USB驱动器使用高成本的单一细胞(SLC) NAND闪存,相比之下,更典型的多层细胞(多层陶瓷)NAND闪存,大多数其他制造商使用。
Jevans也认为，铁钥匙公司也推崇的FIPS认证，在某种程度上是市场话语权，需要向政府机构和私人公司销售。但“它有更大的价值，”他说。
Jevans说:“我们不希望人们实施私有的加密算法，这些算法几乎总是有缺陷。”“这是一个好处:FIPS指定您将使用众所周知的加密算法，而AES经过了漫长而详细的公开评估。”
当Kingston, SanDisk和逐字发出警告时，Iron Key是在一个数字的公司问题陈述向客户保证他们的设备是安全的，不会受到同样的攻击。Jevans说，这是因为密码和身份验证过程包含在USB驱动器本身，与主机系统无关。
“我们根本不相信电脑，”他说。“电脑上可能有恶意软件，或者有黑客进入。在我们的安全设计中，我们说我们必须假设计算机是完全不可信任的。这就是我们开始建立威胁模型的地方。”
Jevans说FIPS并没有告诉供应商如何构建安全产品，而是假设制造商知道他们在做什么。“当我和帮助编写标准的FIPS分析人员交谈时，他们说他们早就知道这个问题了。”
Jevans说，当前的FIPS标准不能防范该漏洞的原因是，在企业环境中，能够使用一个管理密码解锁和管理数百个USB闪存驱动器是非常有用的，“这就是这个漏洞的有效所在。”
设备密码由用户密码解锁，内置在所有USB驱动器上的软件中。
你可以看到为什么，在数据中心环境中，这是有意义雷竞技电脑网站的。但这与数以百万计的用户使用这些东西是非常不同的，”他说。“目前FIPS标准还没有考虑到这一点，我认为他们会在这方面进行改进。”
卢卡斯·米瑞恩为《计算机世界》提供存储、灾难恢复和业务连续性、金融服务基础设施和医疗保健IT服务。在推特上关注卢卡斯@lucasmearian，发送电子邮件到lmearian@computerworld.com或订阅卢卡斯的RSS。
这个故事，“更多的闪存盘公司警告安全漏洞;《NIST调查》最初由《计算机世界》 。