自己暗号化SSDの中にはパスワードを知らなくてもデータを復元できる製品があるという研究結果

自己暗号化SSDの中にはパスワードを知らなくてもデータを復元できる製品があるという研究結果: ハードウェアベースでデータの暗号化を行う自己暗号化SSDの中には、パスワードを知らない攻撃者がデータを復元できてしまう製品があるというオランダ・ラドバウド大学の研究結果が発表された(ラドバウド大学のニュース記事、
ラドバウド大学によるアドバイザリ: PDF、
論文ドラフト: PDF、
The Registerの記事)。




研究で使われた自己暗号化SSDはCrucial(Micron)のMX100/MX200/MX300(全フォームファクター)とSamsungの840 EVO/850 EVO(SATA)およびT3/T5(USB)。条件次第だったモデルもあるものの、全モデルが2件の脆弱性(CVE-2018-12037/CVE-2018-12038)のいずれか、または両方の影響を受けたという。また、論文でテストされていない製品の中にも脆弱性の影響を受けるものが存在する可能性は高い。





CVE-2018-12037は、自己暗号化SSDにユーザーが設定するパスワードと暗号鍵が結び付けられていないことによる脆弱性だ。そのため、任意のパスワードを受け付けるようSSDのファームウェアを改変することなどにより、データの復元が可能となる。この脆弱性は上述の全モデルが影響を受けるが、840 EVO/850 EVOはATAセキュリティモードに設定され、マスターパスワードのセキュリティレベルが「High」になっている場合のみ影響を受けるとのこと。

すべて読む

| セキュリティセクション

| ハードウェア

| セキュリティ

| ソフトウェア

| 暗号

| ストレージ
|






関連ストーリー：


「コールドブート攻撃」への対策機能を無効化する手法が発見される
2018年09月19日


新MacBook Pro、ロジックボードが故障するとSSDのデータを救出できない可能性
2018年07月27日


Windows 10の新たな脆弱性、アップデート時にキーを押すだけで暗号解除と管理者権限取得が可能に
2016年12月05日


ファームウェアを狙うマルウェア、攻撃者にとっての利点は
2015年03月24日


東芝、取り外すとデータが読み出せなくなる HDD を開発
2010年08月12日


暗号化ストレージに関する標準仕様が策定される
2009年01月30日


DRAMに残った情報からディスクエンクリプションを解く
2008年02月23日