Sandisk & Kingston: USB-Verschlüsselung lückenhaft

Die Sicherheitsexperten von Syss haben im Rahmen des 26. Chaos Communication Congress (26C3) auf Fehler bei verschlüsselten USB-Sticks aufmerksam gemacht. Ein Zugriff auf die Daten des mobilen Speichers war in mehreren Fällen auch ohne gültiges Kennwort möglich, heißt es.

Betroffen sind USB-Sticks von den Herstellern Sandisk und Kingston. Die portablen Massenspeicher sind nach dem FIPS-Standard der NIST für den Einsatz beim US-amerikanischen Militär sowie bei der US-amerikanischen Regierung zertifiziert. Laut den Experten lässt sich die Passwortabfrage auf einfache Weise umgehen, da die Hersteller nicht auf eine Hardware-Verschlüsselung, sondern auf eine Softwarelösung setzen.


Hierbei soll es keine Rolle spielen, welches Kennwort eingegeben wurde. Dies habe damit zu tun, dass die Kennwortüberprüfung einen bestimmten Wert, der sich allerdings nie ändern soll, zurückgeben muss.

Folglich könne man den USB-Sticks vorspielen, dass ein korrektes Kennwort eingegeben wurde, so die Experten. Letztlich könnten sich auch Unbefugte ohne größeren Aufwand Zugriff auf die gespeicherten Dateien verschaffen.

Die beiden Hersteller Sandisk und Kingston haben bereits auf dieses Problem reagiert und entsprechende Software-Updates für die betroffenen Geräte veröffentlicht.

Nach der Installation dieser Updates bestehe die geschilderte Problematik nicht mehr, teilten die Hersteller mit.