研究：WD自我加密系列硬盘漏洞很多，加密功能等同虚设
Gunnar Alendal、Christian Kison与代号为modg的三名独立资安研究人员释出一份针对WD
（Western Digital）硬盘的资安研究报告指出，WD旗下My Passport系列自我加密外接硬
碟中，有多款含有众多重大安全漏洞，允许骇客存取加密资料，其硬件加密功能等同虚设
。
My Passport为WD专为行动装置所设计的2.5吋外接式硬盘，视型号可支援USB、
Thunderbolt或Firewire等连结埠，并有多款含有硬盘加密功能，也可设定存取资料的密码
。此次研究人员则锁定支援USB接口的My Passport版本，借由连结电脑的USB桥接器来进行
加密与解密功能，所测试的外接硬盘使用了JMS538S、JMS569、SW6316、INIC-1607E、
INIC-3608与OXUF943SE等型号的USB桥接器，涉及数十款硬盘产品。
报告指出，这次研究除了开发出各种不同的攻击手法以取得这些完全加密且由密码保护的
硬盘资料之外，也发现许多安全威胁，包括很容易就能窜改韧体或可于使用者电脑上执行
的软件，以展开邪恶女仆（evil maid）攻击或是植入恶意程式进行badUSB攻击。
例如只要透过暴力破解密码就能导致加密的资料加密金钥（encrypted Data Encryption
Key, eDEK）外泄，还能利用软件取得每一款USB桥接器的韧体与eDEK，这些桥接器韧体的
外泄将成为未来的安全隐忧，也有助于骇客暴力破解密码。此外，WD的韧体更新机制亦不
够安全。
在研究人员所检验的桥接器中，JMS538S桥接器的DEK出厂设定可能遭受简单的查表
（table lookup）攻击，OXUF943SE与SW6316则含有后门漏洞，最危险的则是INIC-3608，
因为该负责桥接与验证使用者身份的桥接器并不支援硬件加速的AES加密，而是借由简单的
内存比对来进行验证，因此只要传送一个命令就能取得金钥加密金钥（KEK）。
（编译/陈晓莉）
iThome
http://www.ithome.com.tw/news/99446