एक "अटूट" आईडिस्क एक आईरिस स्कैन द्वारा संरक्षित है, लेकिन स्पष्ट पाठ में एक पासवर्ड प्रसारित करता है

आईडिस्क बायोमेट्रिक-प्रूफ यूएसबी ड्राइव जिसे क्रैक नहीं किया जा सकता है

बॉयोमीट्रिक सुरक्षा के सबसे आधुनिक तरीकों का मतलब हमेशा बढ़ी हुई सुरक्षा नहीं है। आईडिस्क डेवलपर्स की विफलता वास्तव में अधिक सामान्य रुझानों को प्रकट करती है। दुर्भाग्य से, आईटी उद्योग में, ऐसा होता है कि "शानदार" नई तकनीकों के प्रभाव में, लोग सुरक्षा की मूल बातें भूल जाते हैं।

डेवलपर्स ने "अनब्रेकेबल" यूएसबी ड्राइव के रूप में आईडिस्क को टाउट किया और किकस्टार्टर पर प्री-ऑर्डर में $ 21,000 से अधिक सफलतापूर्वक रखा।

वास्तव में, आईडिस्क डिवाइस एक फ्लैश कार्ड है जिसमें एक एकीकृत कैमरा है जो आईरिस को स्कैन करता है। चूंकि गैजेट की कंप्यूटिंग शक्ति छवि विश्लेषण और प्रमाणीकरण के लिए पर्याप्त नहीं है, इसलिए पासवर्ड के साथ छवि को विशेष सॉफ़्टवेयर के साथ यूएसबी के माध्यम से कंप्यूटर में स्थानांतरित किया जाता है।

स्कैनिंग और मान्यता में लगभग 0.5 सेकंड लगते हैं।



एक 32 जीबी फ्लैश ड्राइव $ 99 के लिए बेच रहा है, और निवेशक क्राउडफंडिंग अभियान के हिस्से के रूप में इसे $ 50 के लिए ऑर्डर कर सकते हैं। सबसे महंगी 128 जीबी फ्लैश ड्राइव की कीमत $ 178 ($ 89) है। मार्च 2019 में बिक्री शुरू हुई।

एक "अटूट" फ्लैश ड्राइव ने पेनटेस्टपार्टर्स हैकर्स का ध्यान आकर्षित किया है। वे लिखते हैं कि सबसे पहले उन्होंने मीडिया को विंडोज वर्चुअल मशीन से जोड़ा था। इसे USB कैमरा सहित तीन उपकरणों के रूप में मान्यता दी गई थी। अवरक्त कैमरा मजाकिया काले और सफेद तस्वीरें लेता है: उदाहरण के लिए, दाढ़ी वाले लोग दाढ़ी नहीं देखते हैं।

पेंटेस्टर्स ने इसके बाद आईडिस्क खोली और इसके इनसाइड की जांच की। बाद में, यह हैकिंग के लिए उपयोगी नहीं था, लेकिन यह मानक प्रक्रिया है। उन्होंने एक जिज्ञासु तथ्य की ओर ध्यान आकर्षित किया: बोर्ड पर तीन MCU हैं (तस्वीरों में लाल और हरे रंग में हाइलाइट किए गए), लेकिन उनके बीच कोई केंद्रीय नियंत्रण इकाई नहीं है, प्रत्येक चिप की अपनी भूमिका है।



कैमरे को बैंगनी में नीले और दो tssop8 microcircuits (PUYA P25Q040H SPI NOR Flash) में दिखाया गया है।



फिर सॉफ्टवेयर का समय आया। Wireshark पैकेट स्निफ़र के नवीनतम संस्करण USB के माध्यम से ट्रैफ़िक सुनने में सक्षम हैं। संदर्भ के लिए, SCSI कमांड के लिए USB मास स्टोरेज एक शेल है, इसलिए सामान्य पैटर्न कुछ इस तरह दिखता है:



यहां LUN (लॉजिकल यूनिट नंबर) हैं, जिसके तहत डिवाइस को मान्यता दी गई है, और कमांड डिस्क्रिप्टर के CDB (कमांड डिस्क्रिप्टर ब्लॉक) ब्लॉक। इस मामले में, शीर्ष पैकेट 0x06 ओपकोड के साथ एक SCSI कमांड भेजता है और डिवाइस से प्रतिक्रिया प्राप्त करता है। USB शब्दावली में, "इन" शब्द होस्ट की दिशा को इंगित करता है, "आउट" - डिवाइस के लिए।

पहले पैकेज की सामग्री:



प्रतिक्रिया पैकेज सामग्री:



लेकिन सफल प्रमाणीकरण के बाद डिवाइस को अनलॉक करने के समय कौन से पैकेट प्रसारित किए जाते हैं। सबसे पहले, मेजबान से SCSI कमांड:



और डिवाइस प्रतिक्रिया:



Red डिवाइस के लिए निर्धारित पासवर्ड को इंगित करता है। जैसा कि आप देख सकते हैं, यह स्पष्ट में प्रेषित होता है। लेकिन यूएसबी बस को सुनना मुश्किल नहीं है, जो डेवलपर्स ने बिल्कुल भी नहीं सोचा था। या यह फ्रीलांसर्स थे जिन्हें सीधे पासवर्ड एन्क्रिप्शन लागू करने के लिए नहीं कहा गया था (लेख देखें "वेब डेवलपर्स डिफ़ॉल्ट रूप से असुरक्षित कोड लिखते हैं" : वेब पर यही समस्या है)।

आईरिस हैश के 16 बाइट्स को स्क्रीनशॉट में नीले रंग में हाइलाइट किया गया है - दो-कारक प्रमाणीकरण का दूसरा कारक।

सबसे दिलचस्प बात यह है कि यदि आप गलत पासवर्ड दर्ज करते हैं या एक मनमानी आईरिस को स्कैन करते हैं, तो प्रोग्राम डिवाइस को एक ही उत्तर में एक ही डेटा पैकेट भेजता है।

यह सब एक "अटूट" eyeDisk ड्राइव है।

पेंटेस्टर्स ने फ्लैश मेमोरी के साथ थोड़ा सा छेड़छाड़ की, एक डंप बनाया और मेमोरी का एक विशिष्ट क्षेत्र पाया जहां पासवर्ड संग्रहीत है। हालांकि यह पहले से ही, सिद्धांत रूप में, वैकल्पिक था। मुख्य जोखिम यह है कि सत्यापन के लिए, सॉफ़्टवेयर डिवाइस से वास्तविक उपयोगकर्ता के आईरिस और एक स्कैन का अनुरोध करता है, जो स्पष्ट रूप में प्रसारित होता है। प्रत्येक प्रमाणीकरण प्रयास के दौरान सूचना प्रसारित की जाती है, और मेजबान पर सुलह होती है।

भेद्यता रिपोर्ट एक महीने पहले आईडिस्क को भेजी गई थी, निर्माता ने भेद्यता को ठीक करने का वादा किया था, लेकिन फिर भी उसने कोई जवाब नहीं दिया, इस संबंध में, पंचों ने हैक के विवरण की घोषणा करने का फैसला किया।

ट्रैफ़िक को सुनने से अक्सर चीजों और अन्य बाह्य उपकरणों के इंटरनेट के उपकरणों में कमजोरियों का पता चलता है। डेवलपर्स कभी-कभी यह भूल जाते हैं कि आप किसी भी प्रसारण चैनल को सुन सकते हैं। फैशनेबल आधुनिक तकनीकों जैसे कि आईरिस या अन्य बायोमेट्रिक्स को स्कैन करना एन्क्रिप्शन को उपेक्षित करने पर सुरक्षा को नहीं जोड़ेगा।

---