Hackerata eyeDisk, la chiavetta USB che si spacciava per non-hackerabile

EyeDisk è una chiavetta USB che aveva ottenuto un modesto successo su Kickstarter grazie alla promessa di offrire rigidi standard di sicurezza informatica, al punto da non poter essere hackerata. Il problema è che è un'affermazione falsa, la chiavetta USB è stata hackerata con estrema facilità da un ricercatore.

David Lodge, ricercatore di Pen Test Partners ha trovato infatti un exploit per individuare la password di backup del device, quella che consente il recupero dei file nel caso in cui il device crashi. La password in questione sarebbe stata individuata facilmente semplicemente utilizzando un tool che permette di scansionare le informazioni custodite in una pendrive.

In condizioni normali eyeDisk si sblocca solo attraverso la scansione dell'iride, che viene effettuata attraverso una cam USB venduta assieme al prodotto. Il riconoscimento, ha spiegato il ricercatore, funziona relativamente bene: i metodi più dozzinali per ingannare la scansione dell'iride hanno fallito tutti, e la lettura dell'iride avviene correttamente circa due volte su tre. Fin qua tutto ok.

Poi Lodge ha aperto, non senza fatica, la chiavetta, analizzando le singole componenti e cercando di capire cosa facesse cosa; anche in questo caso non gli è stato molto utile al fine di ingannare eyeDisk e bypassarne le misure di sicurezza.

È bastato invece un tool che monitora il traffico della chiavetta per scoprire, non senza un certo sconcerto, che è lo stesso codice della chiavetta a comunicare, in chiaro, la password di backup, senza bisogno di ulteriori artifici. Quando è il momento di inserire la password il codice di eyeDisk espone da solo la parola chiave, confrontandola poi con quella digitata dall'utente. È quindi in questa fase che qualsiasi persona può mettere facilmente le mani sopra alla password, accedendo al contenuto della chiavetta USB senza nessun problema.

L'exploit (se così si può chiamare) è stato comunicato all'azienda produttrice, che ha promesso di risolvere il prima possibile il problema. Qua il report completo di Pen Test Partners.

Leggi anche di come il wallet non hackerabile di John McAfee sia stato... hackerato.