ZitatKingston, SanDisk und Verbatim vertreiben recht ähnliche, verschlüsselnde USB-Sticks mit AES 256 Bit in Hardware, die höchsten Sicherheitsansprüchen genügen sollen. Das soll insbesondere die FIPS 140-2 Level 2 Zertifizierung des US-amerikanischen National Institute of Standards and Technology (NIST) unterstreichen, durch die sich die Sticks für den Einsatz mit sicherheitsbedürftigen Daten von Regierungsbehörden qualifizieren. Wie die Sicherheitsfirma SySS herausgefunden hat, ist es trotzdem recht einfach möglich, auch ohne das eigentlich erforderliche Passwort an die unverschlüsselten Daten zu kommen. Die fraglichen Sticks verschlüsseln alle gespeicherten Daten via Hardware mit 256-Bit-AES, das praktisch nicht zu knacken ist. Zentraler Angriffspunkt, um an den Klartext der auf dem Stick gespeicherten Daten zu kommen, ist somit die Passworteingabe. Bei ihrer Analyse des dafür zuständigen Windows-Programms stellten die Sicherheitsexperten von SySS fest, dass sich da ganz offenbar ein dummer Fehler eingeschlichen hat. Denn das Programm sendete bei einem erfolgreichen Anmeldevorgang nach diversen Krypto-Operationen unabhängig vom Passwort immer die gleiche Zeichenfolge an den Stick – und zwar für alle Sticks dieses Typs.
Quelle: heise.de
