Lenovo ThinkPlus FU100 fleshkasi ma'lumotlarni shifrlamaydi

Kiberxavfsizlik tadqiqotchisi Xusheng Li Lenovo va boshqa ishlab chiqaruvchilarning himoyalangan USB-xotira qurilmalarida jiddiy kamchiliklarni aniqladi.

Kiberxavfsizlik bo'yicha tadqiqotchi Xusheng Li bir nechta ishlab chiqaruvchilarning himoyalangan USB-xotira qurilmalarida jiddiy xavfsizlik muammolarini aniqladi. Jumladan, 256 bitli AES apparat shifrlash tizimi va barmoq izi skaneriga ega deb sotilayotgan Lenovo ThinkPlus FU100 fleshkasi aslida oddiy SD-karta o'rnatilgan kartrider ekani ma'lum bo'ldi. Qurilmadagi skaner faqat xotirani kompyuterga ulashga ruxsat bergan, ichidagi ma'lumotlar esa umuman shifrlanmagan. Tadqiqotchi ushbu mahsulotni "chiroyli korpusdagi oddiy SD-karta" deb atadi, chunki qurilmani qo'lga kiritgan har qanday odam undagi fayllarni qiyinchiliksiz o'qiy oladi.

Boshqa Lenovo qurilmalari va ishlab chiqaruvchilardagi muammolar

Kamchiliklar kompaniyaning boshqa mahsulotlarida ham kuzatildi. Lenovo TSD303 tashqi SSD-xotirasi ma'lumotlarni haqiqatan ham shifrlagan, biroq parolni tekshirish vaqtida to'g'ri kombinatsiyani USB orqali kompyuterga ochiq holatda yuborgan va uni ushlab qolish qiyin bo'lmagan. Dastlabki yangilanish parol uzatishdagi xatoni tuzatgan bo'lsa-da, dasturiy ta'minotdan tiklash mumkin bo'lgan kalitdan foydalangan. Faqat keyingi proshivka versiyasidagina ishlash tartibi o'zgartirilib, xotira qurilmasi kiritilgan parolni kompyuterga jo'natmasdan o'zi mustaqil tekshiradigan bo'ldi.

Tadqiqot doirasida Lenovo xotira qurilmalari bilan bir xil dasturlash vositalaridan foydalanadigan boshqa ishlab chiqaruvchilarning mahsulotlari ham qamrab olindi va jami to'qqizta turli qurilma tekshirildi. Aksariyat holatlarda tajribali mutaxassis parolni qo'lga kirita olgan, ikkita xotira qurilmasi esa ma'lumotlarni microSD kartalarda hech qanday shifrlashsiz saqlagan. Dasturlarni teskari muhandislik usulida tahlil qilish uchun Li o'z kompaniyasi vositalari bilan birga OpenAI tomonidan yaratilgan Codex tizimidan foydalandi. Masalan, Netac xotira qurilmasining himoyasi taxminan yetti daqiqada buzildi: sun'iy intellekt dastur ichiga o'rnatilgan doimiy kalitni hamda diagnostika jurnallariga yozib borilgan foydalanuvchi parolini topdi.

Nusxa ko'chirishdan himoyalash dasturlari va ishonchli yechim

Nusxa ko'chirishdan himoyalovchi dasturlar tekshirilganda ham shunga o'xshash zaifliklar yuzaga chiqdi:

• KakaSoft USB Copy Protection dasturi o'zi yaratadigan ichki paroldan foydalangan bo'lib, Codex algoritmni tikladi va sinov faylini foydalanuvchi parolisiz taxminan 26 daqiqada ochdi.
• Nexcopy Copy Secure himoyasini taxminan 10 daqiqada chetlab o'tishga erishildi, chunki kalit fayllarni ko'rish ilovasiga o'rnatilgan sertifikat orqali ochiq qolgan.
• SecZure YutianDun dasturida vaqt bo'yicha orqaga qaytarib tekshirish usuli yordamida dastur ishlashi kuzatildi va himoyani chetlab o'tish mexanizmi hamda oddiy parolli ikkita yashirin hisob aniqlandi.

Mutaxassisning ta'kidlashicha, bunday zaifliklarning o'zi ishlab chiqaruvchilarning yomon niyatda ekanini anglatmaydi. Shu bilan birga, u buzg'unchi qo'liga tushgan fleshkani qaytarib olish yoki yangilash deyarli imkonsiz bo'lgani sababli KakaSoft, Nexcopy va SecZure kompaniyalarini xabardor qilmagan. Ishonchliroq yechim sifatida Li ochiq kodli Phantomdrive loyihasini misol qilib keltirdi: u ham microSD-kartadan foydalanadi, ammo ma'lumotlarni foydalanuvchi paroli asosida shakllanadigan kalit bilan shifrlaydi va kartani shunchaki chiqarib olish bilan fayllarni o'qib bo'lmaydi.