关键漏洞信息 漏洞ID: SYSS-2022-043 产品: Store 'n' Go Secure Portable SSD 制造商: Verbatim 影响版本: #53402 (GDM5LK02 C-INIC3637-V1.1) 测试版本: #53402 (GDM5LK02 C-INIC3637-V1.1) 漏洞类型: 使用具有风险的密码原语 (CWE-1240) 风险等级: 高 解决状态: 已修复 制造商通知日期: 2022-06-29 解决日期: 2022-07 公开披露日期: 2022-10-07 CVE引用: CVE-2022-28384 漏洞概述 该Verbatim Store 'n' Go Secure Portable SSD是一款便携式USB驱动器，具备AES 256位硬件加密和内置键盘进行密码输入。由于设计不安全，该设备易受到离线暴力破解攻击，通过暴力破解可以找到正确的密码，从而获得存储数据的访问权限。 漏洞细节 该设备使用AES-256加密引擎进行数据加密，但使用了不安全的ECB模式。 密钥加密密钥（KEK）由输入的密码生成并用于加密数据加密密钥（DEK）。 攻击者可以通过在所有可能的密码上生成和观察密钥加密密钥（KEK）来进行离线暴力破解攻击。 证明概念 Matthias Deeg开发了一个暴力破解软件工具，用于检查所有可能的密码。成功破解后，该工具可以在5.37秒内找到密码（12345678）。 解决方案 Verbatim在2022年7月的“安全更新”中修复了离线暴力破解攻击的漏洞。 披露时间表 2022-06-29: 漏洞报告给制造商 2022-07: 制造商发布安全更新 2022-10-07: 公开发布安全咨询