Dischi con crittografia SED, attenzione all'ibernazione

Diverse unità in commercio (hard disk ed unità SSD) offrono un’impostazione lato firmware che permette di crittografare e decifrare in maniera del tutto automatica le informazioni conservate nel supporto di memorizzazione.
Queste unità sono chiamate self-encrypting drives (SED) e sono spesso utilizzate in ambito aziendale per proteggere la riservatezza dei dati.

Rispetto ad una soluzione crittografica puramente software, i dischi SED consentono di fidare su prestazioni nettamente migliori perché la cifratura e la decodifica dei dati viene effettuata in hardware utilizzando un processore dedicato, parte del controller.

Nel corso della conferenza Black Hat Europe, due ricercatori – Daniel Boteanu e Kevvie Fowler – hanno dimostrato che utenti non autorizzati possono comunque leggere le informazioni crittografate dai dischi SED utilizzando ben tre attacchi differenti.

L’aspetto più importante evidenziato nel corso della dimostrazione è che se un sistema fa uso di unità SED ma viene posto in ibernazione, un malintenzionato può leggere il contenuto del disco. L’unica soluzione per ripararsi da eventuali attacchi è spegnere completamente il sistema.

Si immagini di lasciare da qualche parte o perdere un notebook con dischi SED: solo se il sistema fosse stato precedentemente spento in maniera completa, i dati non potranno essere letti da parte di terzi.

Lo studio del duo di ricercatori ha preso in esame lo standard Trusted Computing Group (TCG) Storage Security Subsystem Class, altrimenti conosciuto come Opal, e lo standard Microsoft Encrypted Drive (eDrive), a sua volta basato su Opal.

Il problema, messo in evidenza da Boteanu e Fowler, è che una volta che un’unità SED viene “sbloccata”, i dati restano leggibili fintanto che non viene tolta l’alimentazione od inviato un comando di deautenticazione.
Quando un notebook viene posto in ibernazione, l’unità SED viene “bloccata”. Nel momento in cui il sistema viene ripristinato, però, il software di gestione pre-boot – che si trova già in memoria – provvede a “sbloccare” l’unità.