RaidSonic: Leesbare sleutel geen lek, maar feature

Collin Mulliner onderzocht de RaidSonic NAS-4220-B, een op Linux gebaseerd apparaat voor netwerkopslag. De low-end oplossing maakt gebruik van een webinterface.

advisory

beschrijft Mulliner dat de sleutel voor de encryptie is opgeslagen op een niet-gecodeerde partitie. Helemaal leesbaar is de sleutel niet, omdat het is bewaard in Base-64 codering, maar het omzetten in een wachtwoord is triviaal. Voor wie dat niet lukt levert de onderzoeker een script van drie regels mee.

"De sleutel is opgeslagen in de directory /system/.crypt", schrijft Mulliner, "/system/ is een kleine configuratie partitie op dezelfde schijf waar ook de versleutelde partitie zich bevind."

Knut Trepte, woordvoerder van RaidSonic, bevestigt de ontdekking van Mulliner. Toch ontkent hij dat dit een groot probleem is. "Hier hebben wij bewust voor gekozen. De versleuteling is niet in eerste instantie gericht op de harde schijf in de NAS zelf, maar op externe apparaten", betoogt de voorlichter tegenover Techworld. "Hierbij kunt u bijvoorbeeld denken aan een USB-stick die op de NAS wordt aangesloten."

Trepte benadrukt dat het hier gaat om een product dat bij kleinere bedrijven wordt gebruikt, waar het vaak ontbreekt aan technische kennis.

"Dan moet je een keuze maken. Het is niet perfect, maar wel geschikt voor het doel waarvoor het ontwikkeld is."

Tot slot stelt het bedrijf dat het nooit mogelijk is iets volledig te beveiligen als mensen fysieke toegang tot het object hebben. "Maar apparaten die je loskoppelt, kun je wel beter beveiligen."

Bron: Techworld