Chyby zabezpečení týkající se samošifrovacích jednotek (CVE-2018-12037 a CVE-2018-12038): Opatření pro zmírnění dopadů u produktů Dell Encryption

Dotčené produkty:

• Dell Encryption Enterprise
• Dell Encryption Personal
• Dell Endpoint Security Suite
• Dell Endpoint Security Suite Enterprise
• Dell Encryption – Nástroj BitLocker Manager
• Dell Encryption – správa samošifrovací jednotky

Společnost Dell si je vědoma hlášení o chybách zabezpečení hardwarového šifrování některých samošifrovacích disků SSD, jak je popsáno v poznámce o chybě zabezpečení VU# 395981 . Prověřujeme možný dopad těchto chyb zabezpečení na naše produkty a co nejrychleji poskytujeme aktualizace. Naší první prioritou je chránit zákazníky a zajistit zabezpečení jejich dat a počítačů.

Chyba zabezpečení uvedená v poznámce VU#395981 definuje charakteristiky chyby zabezpečení, která může umožnit přístup k diskům chráněným hardwarově akcelerovanými implementacemi nástroje BitLocker, které se běžně nazývají eDrive, spolu s mnoha disky SED.

Disky spravované nástrojem BitLocker pomocí hardwarového šifrování jsou založeny na specifikacích eDrive, což nemusí nutně znamenat, že se jedná o samošifrovací disky (SED). Specifikace eDrive vyžaduje soulad se standardem IEEE 1667, který se liší od specifikace OPAL2 mnoha technologií pro správu samošifrovací jednotky.

Požadavky na specifikace služby eDrive (název Společnosti Microsoft pro hardwarově akcelerovaný nástroj BitLocker) najdete zde: https://docs.microsoft.com/en-us/windows/security/information-protection/encrypted-hard-drive.

Tato chyba zabezpečení se týká také některých disků SED, z nichž mnohé spadají pod specifikaci TCG OPAL a OPAL2, která je zde definována: https://trustedcomputinggroup.org/resource/storage-work-group-storage-security-subsystem-class-opal/.

Tato chyba zabezpečení ovlivňuje samotné disky, nikoli software Dell Encryption, a ne všechny disky jsou touto chybou zabezpečení dotčeny. Společnost Dell spolupracuje s výrobci na určení dopadu a zajišťuje, aby byly pro dotčené disky zavedeny plány nápravy.

Není k dispozici

Zmírnění problémů se zabezpečením nástroje Dell Encryption

Zákazníkům, kteří používají řešení Dell Self-Encrypting Drive Management, doporučuje společnost Dell přidat do počítačů další vrstvu zabezpečení. To se provádí vrstvením nástroje Dell Policy Based Encryption do počítačů s disky, které byly označeny jako potenciálně zranitelné, dokud pro tyto disky nebude k dispozici aktualizovaný firmware.

Zařízení se šifrováním disků SED založeném na zásadách mohou umožnit šifrování disků SED pomocí klíče System Data Encryption. Další informace najdete v článku: Jak povolit šifrování SDE pro aplikace Dell Encryption Enterprise nebo Dell Encryption Personal v systémech se samošifrovacími jednotkami.

Pokud je vyžadováno řešení šifrování celého svazku, může být i hardwarové šifrování nahrazeno softwarovým šifrováním pomocí nástroje BitLocker.

Jak deaktivovat hardwarovou akceleraci nástroje BitLocker s nástrojem Dell Encryption

Zákazníci s nástrojem BitLocker Manager společnosti Dell, kteří mají obavy, že se mohou setkat s problémy popsanými v rámci VU#395981, mohou snížit riziko aktualizací zásad. Zakázání zásad pomocí nástroje Dell Security Management Server of Use Hardware-Based Encryption pro pevné datové disky a stejné zásady pro jednotky operačního systému a vyměnitelné jednotky (každý typ jednotky má podobnou zásadu, která využívá hardwarovou akceleraci, pokud je k dispozici), deaktivuje možnost využívat na těchto discích hardwarově akcelerované šifrování. Pokud jednotka využívá pro ochranu šifrování eDrive nebo hardwarově akcelerované šifrování, disk data dešifruje a znovu zašifruje pomocí softwarové metody.

Tyto zásady jsou založeny na koncových bodech a nacházejí se v zásadě šifrování nástroje BitLocker nastavené v příslušné kategorii pro typ jednotky (svazek operačního systému, pevný datový svazek, vyměnitelné úložiště). Další informace o změně zásad v nástroji Dell Security Management Server naleznete v článku: Jak upravit zásady nástroje Dell Data Protection Server

Pro zákazníky, kteří nepoužívají nástroj Dell Data Security Management Server, lze nastavení pro hardwarové šifrování (pokud je k dispozici na discích) spravovat pomocí objektu zásad skupiny nebo položek registru. Tato data pro objekty zásad skupiny naleznete na webu společnosti Microsoft v rámci zásad pro:

• https://docs.microsoft.com/en-us/windows/security/information-protection/bitlocker/bitlocker-group-policy-settings#a-href-idbkmk-hdefxdaconfigure-use-of-hardware-based-encryption-for-fixed-data-drives
• https://docs.microsoft.com/en-us/windows/security/information-protection/bitlocker/bitlocker-group-policy-settings#a-href-idbkmk-hdeosdaconfigure-use-of-hardware-based-encryption-for-operating-system-drives
• https://docs.microsoft.com/en-us/windows/security/information-protection/bitlocker/bitlocker-group-policy-settings#a-href-idbkmk-hderddaconfigure-use-of-hardware-based-encryption-for-removable-data-drives

Jak určím, zda může být ovlivněn koncový bod?

Pokud chcete rychle zjistit, zda jsou disky zranitelné, společnost Dell vám může poskytnout DellOpalCheckerLite, nástroj, který lze použít, pomocí skriptu identifikovat disky SED a určit jejich stav.

Příkaz DellOpalCheckerLite lze spustit pomocí příkazového řádku. Potřebuje číslo disku, který chcete analyzovat. Například k analýze prvního disku prezentovaného operačnímu systému, který je běžně diskem operačního systému, můžete použít syntaxi:

DellOpalCheckerLite.exe 0

Pokud jsou přítomna další čísla disků, lze ve skriptu vytvořit další řádky pro výstup stavu ostatních disků v počítači.

V každém případě se DellOpalCheckerLite po spuštění se proměnná ERRORLEVEL počítače aktualizuje a lze ji zavolat k analýze stavu disku.

Tento seznam obsahuje hodnoty výstupu ze spuštění DellOpalCheckerLite:

Zde je příklad výstupu disku, který je OPAL a je podporován (návratový kód ERRORLEVEL = 0).

Obrázek 1: (Pouze v angličtině) Příklad hodnoty ERRORLEVEL = 0

Další informace o této chybě zabezpečení a poznámky konkrétních výrobců naleznete v článku:

Tým připravenosti Spojených států na nouzové situace v oblasti počítačů: https://www.us-cert.gov/ncas/current-activity/2018/11/06/Self-Encrypting-Solid-State-Drive-Vulnerabilities

Samsung: https://www.samsung.com/semiconductor/minisite/ssd/support/consumer-notice/

Crucial: http://www.crucial.com/usa/en/support-ssd

Další informace o této chybě zabezpečení: https://www.kb.cert.org/vuls/id/395981/

Chcete-li kontaktovat podporu, přečtěte si článek Telefonní čísla mezinárodní podpory Dell Data Security.
Přejděte na portál TechDirect a vygenerujte online žádost o technickou podporu.
Další informace a zdroje získáte na fóru komunity Dell Security.