گزارش تازه‌ای از کشف ضعف‌های امنیتی در دو محصول ذخیره‌سازی رمزگذاری‌شده منتشر شده است؛ ضعف‌هایی که نشان می‌دهند استفاده از رمز عبور و تبلیغ قابلیت رمزگذاری، به‌تنهایی تضمینی برای حفاظت از اطلاعات کاربران نیست. در یکی از این موارد، پژوهشگری مدعی شناسایی حساب‌های داخلی با رمزهای ثابت در محصولات SecZure شده است.
به گزارش تکراتو، به نقل از زومیت و گزارش‌های پژوهشگران امنیتی، موضوع دوم به نرم‌افزار FileLock شرکت Netac مربوط می‌شود که ظاهراً ابزار هوش مصنوعی Codex توانسته حفاظت آن را در مدت هفت دقیقه دور بزند. همچنین ادعا شده این نرم‌افزار رمزهای عبور واردشده را در فایل‌های ثبت رویداد ذخیره می‌کرده است. جزئیات این یافته‌ها هنوز نیازمند بررسی و تأیید مستقل بیشتری هستند.
کشف در پشتی در فلش‌مموری‌های رمزگذاری‌شده SecZure
فلش‌مموری‌های رمزگذاری‌شده معمولاً برای نگهداری اطلاعات حساس، اسناد کاری و فایل‌های شخصی استفاده می‌شوند. مهم‌ترین وعده چنین محصولاتی این است که افراد فاقد رمز عبور نتوانند به داده‌های ذخیره‌شده دسترسی پیدا کنند.
بااین‌حال، پژوهشگری به نام شوشنگ لی از شرکت Binary Ninja گزارش داده که در سازوکار امنیتی محصولات SecZure دو حساب داخلی با رمزهای عبور ثابت شناسایی کرده است.
براساس این ادعا، وجود چنین حساب‌هایی می‌تواند راهی برای دسترسی به اطلاعات محافظت‌شده بدون اطلاع از رمز عبور اصلی کاربر ایجاد کند.
این موضوع از آن جهت نگران‌کننده است که حتی انتخاب یک رمز عبور طولانی و پیچیده نیز نمی‌تواند ضعف‌های موجود در سازوکار احراز هویت خود دستگاه را برطرف کند.
چرا حساب‌های داخلی با رمز ثابت خطرناک هستند؟
در یک سیستم ذخیره‌سازی امن، دسترسی به اطلاعات باید براساس سازوکارهای احراز هویت مشخص و قابل اعتماد انجام شود.
اگر یک دستگاه دارای حساب داخلی با رمز عبور ثابت باشد، امنیت آن ممکن است به محرمانه‌ماندن اطلاعاتی وابسته شود که در تمام دستگاه‌های مشابه مشترک است.
در چنین شرایطی، کشف اطلاعات دسترسی داخلی می‌تواند خطر گسترده‌تری نسبت به افشای رمز عبور یک کاربر ایجاد کند.
البته میزان واقعی خطر به نحوه پیاده‌سازی این حساب‌ها، مدل‌های آسیب‌پذیر و شرایط لازم برای دسترسی بستگی دارد.
در اطلاعات بررسی‌شده، فهرست کامل مدل‌های تحت تأثیر و شرایط دقیق بهره‌برداری از ضعف امنیتی مشخص نشده است.
نقش هوش مصنوعی در شکستن حفاظت نرم‌افزار FileLock
بخش دیگری از گزارش به نرم‌افزار FileLock متعلق به شرکت Netac اختصاص دارد.
طبق اطلاعات منتشرشده، ابزار Codex اوپن‌ای‌آی در یک آزمایش امنیتی توانسته حفاظت نرم‌افزاری این محصول را در مدت هفت دقیقه دور بزند.
این موضوع با آسیب‌پذیری ادعایی محصولات SecZure متفاوت است و نباید دو یافته را به‌عنوان یک حمله واحد معرفی کرد.
نکته مهم اینکه گزارش از دورزدن حفاظت نرم‌افزاری FileLock صحبت می‌کند، نه لزوماً شکستن مستقیم یک الگوریتم رمزنگاری استاندارد.
این تفاوت اهمیت زیادی دارد؛ زیرا ضعف در احراز هویت، مدیریت رمز عبور یا پیاده‌سازی نرم‌افزار می‌تواند بدون شکستن الگوریتم اصلی رمزنگاری، امنیت داده‌ها را به خطر بیندازد.
ذخیره رمزهای عبور در فایل‌های ثبت رویداد
یکی دیگر از یافته‌های مطرح‌شده درباره FileLock، ثبت رمزهای عبور واردشده در فایل‌های لاگ یا گزارش رویداد است.
فایل‌های لاگ معمولاً برای ثبت خطاها، فعالیت‌های نرم‌افزار و اطلاعات موردنیاز برای عیب‌یابی استفاده می‌شوند.
بااین‌حال، ثبت رمز عبور به‌صورت خوانا در این فایل‌ها می‌تواند یک ضعف امنیتی جدی باشد.
در چنین شرایطی، فردی که به فایل‌های ثبت رویداد دسترسی پیدا کند، ممکن است بتواند اطلاعات محرمانه احراز هویت را مشاهده کند.
از دیدگاه طراحی امنیتی، اطلاعات حساسی مانند رمزهای عبور نباید به‌شکلی ذخیره شوند که از طریق فایل‌های عیب‌یابی یا گزارش‌های معمولی قابل بازیابی باشند.
آیا هوش مصنوعی الگوریتم رمزگذاری را شکست؟
یکی از نکات مهم در پوشش این خبر، تفاوت میان شکستن رمزنگاری و دورزدن سازوکار حفاظتی یک محصول است.
رمزنگاری استاندارد، در صورت پیاده‌سازی صحیح و مدیریت امن کلیدها، می‌تواند حفاظت قدرتمندی در برابر دسترسی غیرمجاز فراهم کند.
اما اگر نرم‌افزار رمز عبور را در محل نامناسب ذخیره کند یا سازوکار احراز هویت دارای ضعف باشد، مهاجم ممکن است بدون حمله مستقیم به الگوریتم رمزنگاری به اطلاعات دسترسی پیدا کند.
بنابراین، گزارش مربوط به FileLock را نباید به معنای توانایی عمومی Codex برای شکستن تمام فلش‌مموری‌های رمزگذاری‌شده یا الگوریتم‌های رمزنگاری دانست.
همچنین عدد هفت دقیقه مربوط به آزمایش گزارش‌شده روی یک نرم‌افزار مشخص است و نمی‌توان آن را به سایر محصولات تعمیم داد.
این یافته‌ها چه اهمیتی برای امنیت اطلاعات دارند؟
فلش‌مموری‌های رمزگذاری‌شده در محیط‌های شخصی و سازمانی برای انتقال و نگهداری اطلاعات حساس کاربرد دارند.
کاربران معمولاً تصور می‌کنند اگر یک محصول دارای قابلیت رمزگذاری باشد، دسترسی به اطلاعات بدون داشتن رمز عبور غیرممکن خواهد بود.
اما امنیت واقعی چنین دستگاه‌هایی به عوامل مختلفی وابسته است؛ از جمله کیفیت نرم‌افزار، مدیریت کلیدهای رمزنگاری، نحوه ذخیره رمز عبور و وجود یا نبود حساب‌های دسترسی داخلی.
این گزارش یادآوری می‌کند که امنیت یک محصول تنها با بررسی نام الگوریتم رمزنگاری یا ادعاهای تبلیغاتی سازنده قابل ارزیابی نیست.
کاربران فلش‌مموری‌های رمزگذاری‌شده چه اقداماتی انجام دهند؟
کاربرانی که از حافظه‌های رمزگذاری‌شده برای نگهداری اطلاعات حساس استفاده می‌کنند، بهتر است اطلاعیه‌های امنیتی سازنده محصول خود را دنبال کنند.
در صورت انتشار به‌روزرسانی رسمی برای رفع آسیب‌پذیری، نصب نسخه اصلاح‌شده اهمیت زیادی دارد.
همچنین بهتر است نسخه پشتیبان اطلاعات مهم در محل امن دیگری نگهداری شود تا حفاظت از داده‌ها به یک دستگاه وابسته نباشد.
در محیط‌های سازمانی نیز بررسی مستقل محصولات ذخیره‌سازی و استفاده از راهکارهای امنیتی دارای ارزیابی معتبر می‌تواند خطر ناشی از ضعف‌های پنهان را کاهش دهد.
بااین‌حال، تا زمان مشخص‌شدن مدل‌های تحت تأثیر و انتشار جزئیات فنی تأییدشده، نمی‌توان نتیجه گرفت که تمام محصولات SecZure یا Netac دارای این مشکلات هستند.
آینده امنیت حافظه‌های رمزگذاری‌شده
یافته‌های گزارش‌شده درباره SecZure و Netac نشان می‌دهند که ضعف در طراحی نرم‌افزار یا سازوکار احراز هویت می‌تواند حتی در محصولاتی که با عنوان حافظه امن فروخته می‌شوند، خطرآفرین باشد.
از سوی دیگر، استفاده از ابزارهای هوش مصنوعی در بررسی امنیت نرم‌افزار می‌تواند به پژوهشگران کمک کند تا برخی مشکلات را سریع‌تر شناسایی کنند.
بااین‌حال، برای ارزیابی کامل این پرونده باید منتظر انتشار مستندات فنی بیشتر، واکنش رسمی سازندگان و نتایج بررسی‌های مستقل ماند.
در نهایت، مهم‌ترین نکته این است که امنیت اطلاعات تنها به وجود قابلیت رمزگذاری وابسته نیست؛ بلکه تمام اجزای نرم‌افزاری و سخت‌افزاری محصول باید به‌درستی طراحی و ارزیابی شده باشند.
دیدگاه‌ها