Backdoors für die Verschlüsselung (aktuell: NAS)

[Evilandi666]

Hi,

ich hab gerade das hier gelesen: Vermutlich Hintertür im Crypto-NAS von Verbatim.

Zeigt nur wieder, dass man auf keine proprietären Verschlüsselungssachen setzen sollte - sei es auf dem NAS oder der SSD oder sonst wo.

Und im obigen Beispiel braucht es nur eine Runde LulzSec oder einen entlassenen MA und schwupps ist eure Verschlüsselung vermutlich für den *****.
Vorstellbar wäre auch, dass bei einem Ermittlungsverfahren Zugriff auf das "Masterpw" gefordert wird. (Ist sowas möglich?)

Natürlich ist das alles in Vermutungen gehüllt, aber irgendwie braucht es da auch nicht viele Beweise, wenn da ein zweites Passwort gesetzt wird, welches nicht vom Anwender stammt.

Was denkt ihr darüber? Nutzt ihr vllt. sogar dieses Gerät?

 

[sys.]

Oh weia... OpenSource könnte man wenigstens ordentlich auditieren... Proprietäre Verschlüsselung ist einfach nichts... Ich warte ja immer noch auf die Cryptowars 2.0...

 

[blafoo]

DAS ist OpenSource!

Die gehen einrfach her, und haengen an dem Ausführungssting zu deinem Password noch ein Password.

Einzige nicht openSource ist das Webinterface, aber das führt halt einfach Scripte aus.

Dein Title is dadurch nicht richtig, weil in der Cryptofunktion des NAS ist keine Backdoor.

Es wird LUKS benutzt, LUKS ist quelloffen und du kannst alles damit machen.

Es ist auch keine besonders gepatche Version dort am laufen. Dort wird nach dem typischen Cryptbefehl

cryptsetup luksFormat -y -s $CRYPTO_ALGO /dev/blablub

Noch der Befehl ausgeführt:

Add bitte noch den und den Key in die Mastekeysektion, das Passwort was dann gebraucht wird HAT die Kiste ja schon, das ist das vom User eingegebene. Schon hat man 2 Passwörter hinterlegt.

Ist eine gängige Funktion von Luks und gibts schon seit Jahren.

Grüße

Grüße

 

[sys.]

Das meinte ich - aber ohne Webinterface ist das NAS nur schwer konfigurierbar...

 

[blafoo]

Durchaus.

Aber, die meisten, gerade die die Linux nutzten, lassen sich relativ Kinderleicht umflashen (zb auf OpenNAS)

Klar der Ottonormal-Anwender schaut nicht danach, der klcikt und hofft er macht es richtig.

Schlimme ist, irgendwann / irdenwie wird der Key geleaked. Und dann is jeder NAS-User, der kein Update macht / es nicht mitbekommt, am Arsch

 

[Evilandi666]

Naja eigentlich ist es eben schon proprietär, auch wenn sie "im Kern" LUKS nutzen*, da man das "Drumherum" eben nicht kennt.
Das Wort Cryptofunktionen war hingegen etwas missverständlich, das hab ich mal korrigiert.

Verbesserungsvorschläge für die Überschrift werden dankend angenommen

*= Hätten sie nicht LUKS benutzt, wäre es u.U. nie herausgekommen.