Kingston IronKey D500S 32 GB – test. Szyfrowany pendrive
Oczywiście pomysłów na zabezpieczenie danych jest dużo. Możemy choćby skorzystać z funkcji systemu Windows czy nawet niezależnego oprogramowania, które zaszyfruje cały dysk lub stworzy chroniony hasłem kontener. Tutaj mamy inne podejście: Kingston IronKey D500S to pendrive wyposażony w interfejs szyfrujący i pokaźną liczbę zabezpieczeń.
Normy i zabezpieczenia
Pojemność tego cudeńka to 32 GB. Elektronikę zamknięto w cynkowanej, wodoodpornej obudowie (wytrzyma zanurzenie do 1,2 m), której wnętrze wypełniono żywicą epoksydową. Producent twierdzi, że dzięki temu nie da się „dobrać” do kości pamięci bez zniszczenia urządzenia. Ponadto sprzęt zabezpieczono nie tylko przed atakami z wykorzystaniem złośliwego oprogramowania BadUSB czy metodą brute force (z pewnym wyjątkiem 10 nieudanych prób wpisania hasła powoduje, że dane z nośnika są bezpowrotnie usuwane), ale też przed nieprawidłowym napięciem w gnieździe USB i zbyt wysoką temperaturą pracy.
Informacje zapisane na pendrivie chroni szyfrowanie XTS-AES z 256-bitowym kluczem, całość zaś wedle producenta jest zgodna z opracowanym przez amerykański rząd certyfikatem FIPS 140-3 Level 3 (jak na razie to deklaracja – właściwa certyfikacja nadal trwa). To najnowszy tego rodzaju standard, w ramach którego opracowano cztery poziomy zabezpieczeń. Jak więc widać, konstrukcja Kingstona znajduje się naprawdę wysoko na tej drabince, szczególnie że – sądząc po opisie zabawek kategorii czwartej – wyżej plasują się już chyba tylko najbardziej fikuśne i najdroższe sprzęty, na których Amerykanie przechowują kody do rakiet i informacje o kosmitach.
Admin i user
Ciekawie jest również, jeśli chodzi o same funkcje urządzenia. Po jego podłączeniu do komputera (obsługiwane systemy: Win 10 i 11, macOS 10.15.x-13.x, Linux Kernel 4.4+) zobaczymy dwa napędy: jeden z softem, drugi zaś zgłosi się początkowo jako nieprawidłowy, a stanie się aktywny dopiero po podaniu ustawionego wcześniej hasła. Z pendrive’a możemy korzystać w dwóch trybach: standardowym, gdzie mamy dostęp do jednej, zabezpieczonej odpowiednio mocnym hasłem lub wyrażeniem hasłowym partycji, lub jako administrator. W tym drugim przypadku mamy możliwość podzielenia nośnika na dwie niezależne partycje o wybranej przez nas pojemności, do których dostępu będą bronić osobne hasła.
Co ciekawe, jako administrator zrobimy także użytek z dodatkowych opcji. Można np. zmusić użytkownika do zmiany hasła, odzyskać dane z jego partycji, gdy ta się „zamknie” po 10 nieudanych próbach zalogowania się, czy skonfigurować hasło awaryjne, które dyskretnie wymaże wszystkie dane z nośnika. O ile administrator ma dostęp do partycji użytkownika, o tyle ten drugi nie zobaczy już plików „zachomikowanych” przez pierwszego. To wygodna opcja, jeśli np. chcemy udostępnić komuś sprzęt. Na okoliczność „wycieczek” możemy też skorzystać z trybu tylko do odczytu.
Wydajność
Producent deklaruje w przypadku nośnika o pojemności 32 GB transfery na poziomie do 260 MB/s dla odczytu oraz do 190 MB/s dla zapisu. W praktyce zaś jest nawet lepiej – choć zdarzają się wyjątki. Jeśli chodzi o odczytywanie danych z urządzenia, to niezależnie od ich ilości pendrive zawsze utrzymywał transfer powyżej 300 MB/s, „pokonując” wynik podany w specyfikacji. Inaczej sprawa wyglądała z zapisem. Gdy pliki miały poniżej 14 GB, nie było problemów i IronKey D500S rozpędzał się do ok. 220 MB/s, czyli ponownie radził sobie lepiej, niż Kingston deklaruje. Spadek pojawiał się dopiero przy większych ilościach danych – powyżej 14 GB zapis zwalniał do ok. 110 MB/s i na tym poziomie utrzymywał się już do końca. Najgorzej oczywiście sprzęt wypadał, gdy kopiowałem znajdujące się na nim dane i wklejałem w to samo miejsce – zapis i odczyt odbywały się jednocześnie, a transfer w najgorszym wypadku spadał do poziomu ok. 40 MB/s.
Są co prawda szybsze pendrive’y, ale nie w tym tkwi siła tego urządzenia: zabezpieczenia i opcje z nimi związane robią duże wrażenie.
Ten nośnik może nie jest najszybszy, ale, ale oczywiście nie w tym tkwi jego siła. Jako magazyn do przenoszenia danych, które wymagają zabezpieczenia, sprawdzi się aż nadto – zwłaszcza że generalnie deklaracje producenta zostały spełnione, a to, co mamy, w zupełności wystarcza do komfortowego użytkowania.
Kupić?
Cóż, z całą pewnością nie jest to urządzenie dla zwykłych ludzi – o czym świadczy cena sięgająca 900 zł za 32 GB. To raczej sprzęt dla firm i instytucji, które mają hopla na punkcie bezpieczeństwa. Z tego względu przeciętny zjadacz chleba powinien się raczej zainteresować bardziej „cywilnymi” nośnikami tej firmy, np. wyposażonym w klawiaturę IronKey Keypad 200, a zwłaszcza pendrive’em Kingston IronKey Locker+ 50 – ten ostatni zapewnia wystarczające zwyczajnym użytkownikom zabezpieczenia, równocześnie przy tej samej pojemności kosztuje ok. 160 zł. Jeżeli jednak naprawdę potrzebujecie tak kosmicznej ochrony plików, jaką zapewnia DS500S, to… Czemu nie? Wasze pieniądze. W takim przypadku warto też pamiętać, że Kingston może nośnik dodatkowo dla was spersonalizować.
Cena: 867 zł
Dostarczył: Kingston
KINGSTON IRONKEY D500S – PARAMETRY
Obsługiwane systemy: Win 10 i 11, macOS 10.15.x-13.x, Linux Kernel 4.4+ • Interfejs: USB 3.2 Gen 1 • Pojemność: 32 GB • Deklarowane transfery: odczyt do 260 MB/s, zapis do 190 MB/s • Inne: cynkowana obudowa, wbudowane oprogramowanie w języku polskim, opcja dwóch partycji z niezależnymi hasłami w trybie administratora, szyfrowanie XTS-AES z 256-bitowym kluczem, hasło Crypto-Erase, certyfikat FIPS 140-3 Level 3 (deklarowany), wodoodporność IEC 60529 IPX8, dioda sygnalizacyjna, zawieszka, 5 lat gwarancji, dostępna możliwość personalizacji • Wymiary: 77,9 mm × 21,9 mm × 12 mm • Waga: 51 g
[Block conversion error: rating]
Czytaj dalej
5 odpowiedzi do “Kingston IronKey D500S 32 GB – test. Szyfrowany pendrive”
Dodaj komentarz
Musisz się zalogować, aby móc dodać komentarz.
Rozumiem, że jak to jest test i w plusach wymieniono „rewelacyjne zabezpieczenia danych”, a sam produkt otrzymał znaczek jakości „CDA Power”, to macie u ciebie dobrych specjalistów od bezpieczeństwa, albo zatrudniliście wyspecjalizowaną firmę, żeby kompleksowo przetestowała deklarowane zabezpieczenia? Bo przecież na pewno nie wystawiacie zabezpieczeniom znaczka jakości na podstawie „trust me, bro”. ::P
Może ironizuję, ale jednak ktoś może rzeczywiście wybrać nośnik do przechowywania ważnych plików na podstawie testów, które nie testują najistotniejszej funkcji, tylko wierzą producentowi na słowo.
A mieliśmy już takie pendrive’y (notabene również Kingstona i innych renomowanych firm, nie żadne chińskie podróby), które były szyfrowane algorytmem AES 256, miały certyfikację FIPS-140 i… dawały dostęp każdemu, kto poznał tajemne hasło „Sezamie, otwórz się!”.
https://niebezpiecznik.pl/post/szyfrowanie-bezpiecznych-pendriveow-zlamane/
Ja bym zalecał ostrożność w kwestii sprzętowo szyfrowanych nośników danych i nie dawanie wiary w twierdzenia producenta, dopóki taki sprzęt się nie doczeka kilku solidnych testów pod kątem zabezpieczeń. Lepiej zwyczajny pendrive za 50 zł zaszyfrować VeraCryptem (wiadomo, co ma w kodzie źródłowym i ma za sobą kilka analiz bezpieczeństwa). Metoda odrobinę mniej wygodna, ale pewniejsza.
Jasne, masz rację. Tyle że mało kto ma umiejętności, by przeprowadzić samodzielnie taką analizę. Ja na pewno nie – stąd też test ma charakter użytkowy i nigdzie tego nie ukrywam, ba, w kilku miejscach podkreślam nawet, że pendrive jest w certyfikacji. Co do VeraCrypt – sam go używam (kontenery offline i online, szyfrowanie partycji systemowej, dodatkowych dysków – to w sumie pierwszy program, jaki instaluję), i to od lat, jeszcze od czasów, kiedy w zastosowaniu był TrueCrypt, który… zwinął się z niewyjaśnionych przyczyn, do tego z cholernie podejrzanym komunikatem pożegnalnym od twórców. Prawdopodobnie chodziło o backdoora, jeśli wierzyć plotkom – i oczywiście nie do końca wiadomo w takiej sytuacji, co odziedziczył VeraCrypt (przeszedł certyfikację Fraunhofera bodaj, ale still – zawsze może się coś przemknąć, nie? Implementacja jest w zasadzie zawsze najsłabszym punktem, w którym można coś przeoczyć, dobrym dowodem wspomniany przez Ciebie FIPS i sprawa nośników). To, o czym piszesz, to słaby punkt każdego systemu zabezpieczeń – w istocie mamy do czynienia z black boxami, do których zajrzeć nie sposób, nawet jeśli źródła są otwarte, choćby ze względu na brak kompetencji. Pozostaje wierzyć na słowo i co najwyżej minimalizować ryzyko – lub wybierać, czy człowiek chce być podsłuchiwanym przez Amerykanów, czy przez Chińczyków :P.
Prawda, rozumiem, że nie każdy ma umiejętności i środki do przeprowadzania audytów bezpieczeństwa. Po prostu to nie pierwszy raz, kiedy widzę, że jakiś produkt szyfrujący jest zachwalany, chociaż z oczywistych względów nikt tego nie sprawdzał w praktyce. Już dawno miałem to ochotę dosadnie skomentować i akurat padło na CDA. To nie miała być sugestia, że kłamiecie w recenzjach, tylko raczej gorzka konstatacja, że zbyt często musimy wierzyć producentom na słowo.
Co do TC, z tego co pamiętam, autor został aresztowany za coś bez związku z TC, ale ludzie trochę spanikowali, że właśnie o to chodziło, żeby od niego wyciągnąć informacje o ewentualnych podatnościach. Potem to się w miarę uspokoiło, a informacja o tym, że TC jest niebezpieczny i polecają się przesiąść na coś innego najprawdopodobniej dotyczyła wyników analizy TC i poprawek wykrytych w nim problemów, które nie zdążyły zostać naprawione. Teorii o tylnej furtce wydaje się przeczyć fakt, że FBI specjalnie czekało z aresztowaniem Rossa Ulbrichta, aż miał uruchomiony laptop i wklepał hasło do dysków.
Jeśli chodzi o VC, to z tego co pamiętam, Audyt Quarkslab pokazał, że błędy odziedziczone w kodzie TC zostały załatane (poza bodajże jednym przegapionym przypadkiem, gdzie zawartość pamięć była czyszczona normalnie, zamiast bezpieczniejszą metodą), do tego jeszcze parę rzeczy znaleźli (przede wszystkim obsługa starszych funkcji haszujących i algorytmów szyfrowania, plus przestarzałe biblioteki obsługi zip-ów, poza tym zalecał nowszą, bardziej obciążającą obliczeniowo funkcję derywacji hasła, zamiast PBKDF2). A audyt Fraunhofera stwierdzał, że nie znaleziono żadnych podatności, chociaż wspominano o kilku algorytmach, które się zdążyły zestarzeć od czasu audytu Quarkslaba. Poza tym mieli tylko zastrzeżenia do nieprzestrzegania przez autora dobrych praktyk pisania kodu (np. wyłapywanie niektórych potencjalnie dających podatność wyjątków w niestandardowy sposób) i pozostawienie odziedziczonego kodu TC, bez żadnych większych zmian. Choć zdaje się, że z ostatnią wersją część tych zastrzeżeń jest już nieaktualna. Ostatnio usunęli przestarzałe algorytmy, wzmocnili funkcję derywacji hasła, wyrzucili kilka starych algorytmów i pozbyli się trybu zgodności z wolumenami TC, więc pewnie odpadła im część starego kodu.
I ostatecznie fakt, że nigdy mieć 100% pewności nie będziemy, ale im więcej oczu patrzy, tym większa szansa, że problemy zostaną wyłapane.
Osobiście ciężko mi uwierzyć w jakiekolwiek zabezpieczenie, jeżeli nie jest ono otwartoźródłowe. Bo niby jaka jest gwarancja, że rząd (najpewniej amerykański) nie „poprosił” o pozostawienie jakiejś furtki?
Rząd amerykański „poprosił” o wstawienie swojej furtki, chińska fabryka na „prośbę” swojego rządu wstawi własną, któryś z pracowników tej fabryki przekupiony lub zaszantażowany zdjęciami, na których jest w bardzo kompromitującej sytuacji z jakąś piętnastką, którą wcześniej mu celowo podsunięto, doda rosyjską. Kraje pięciorga oczu będą korzystały z amerykańskiej, Izrael już dawno dobrawszy się do tajemnic USA będzie korzystał z amerykańskiej bez ich wiedzy i zgody. Korea płn. skorzysta z chińskiej, a Iran z rosyjskiej.
Dla każdego znajdzie się miejsce przy inwigilacyjnym stole. 😛