Verbatim Keypad Secure: Sicherheits-USB-Stick trotz Patch weiterhin knackbar
Sicherheitsforscher Matthias Deeg von der Pentesting-Firma Syss hatte schon im Sommer 2022 vor Sicherheitslücken in verschlüsselten USB-Datenträgern von Verbatim gewarnt. Zwar veröffentlichte der Hersteller damals Firmware-Updates, um die Lücken zu schließen, sonderlich effektiv war das aber offenkundig nicht. Deeg hat in diesem Jahr erneut getestet und konnte die Hardwareverschlüsselung abermals aushebeln.
Betroffen sind einem neuen Blogbeitrag von Syss(öffnet im neuen Fenster) zufolge der USB-Stick Verbatim Keypad Secure sowie die größeren Datenträger Store 'n' Go Portable SSD und HDD. Alle drei Speichermedien werden per USB verbunden und verfügen über ein physisches Tastenfeld zur Eingabe einer PIN.
Laut Verbatim(öffnet im neuen Fenster) bieten die Geräte eine integrierte AES-256-Bit-Hardware-Verschlüsselung, durch die die gespeicherten Daten in Echtzeit verschlüsselt werden. Erst nach Eingabe der korrekten PIN über das Tastenfeld lassen sich die Daten wieder entschlüsseln und lesen. Nach 20 Fehleingaben soll sich der Datenträger zudem automatisch löschen – so zumindest die Theorie.
Achtstellige PIN in Sekunden geknackt
Tatsächlich sind die drei genannten Speichermedien aber wohl anfällig für Offline-Brute-Force-Attacken. In einem von Syss veröffentlichten Youtube-Short(öffnet im neuen Fenster) wird der Angriff am Beispiel des Verbatim Keypad Secure demonstriert. Demnach ist in dem Stick eine SSD integriert, die sich leicht ausbauen und zwecks Brute-Forcing direkt mit einem Rechner verbinden lässt.
Anschließend startet Deeg in dem Clip ein selbst entwickeltes Tool namens VKS Cracker. Innerhalb von weniger als acht Sekunden gelingt es ihm damit, den achtstelligen PIN-Code auf einem einfachen Dell-Laptop zu knacken – und das, obwohl auf dem Stick die neueste Firmware installiert war. Technische Details zu dem Angriff hat Deeg in einem Security-Advisory(öffnet im neuen Fenster) geteilt.
Begrenzte PIN-Länge verschärft das Problem
Dass eine längere PIN vor solchen Angriffen schützt, darf bezweifelt werden, da die Firmware maximal zwölf Ziffern erlaubt. Damit gibt es zwar um Faktor 10.000 mehr Kombinationsmöglichkeiten als in dem von Deeg getesteten Fall, jedoch lassen diese sich auf dem Dell-Laptop des Syss-Forschers rein rechnerisch immer noch innerhalb von nur einem Tag durchtesten.
Nur eine PIN jenseits der 16 Zeichen dürfte hier einen halbwegs brauchbaren Schutz bieten. Zumindest auf Deegs Testgerät würde es damit mehrere Jahre dauern, den Stick zu knacken. Leistungsfähigere Systeme verkürzen diese Zeit aber wieder. Effektiver wäre es daher, wenn der Brute-Force-Schutz, der maximal 20 Fehleingaben erlaubt, nicht nur am Tastenfeld des Datenträgers, sondern auch bei ausgebauter SSD funktionieren würde.