Recentemente, una relazione critica funzioni di gestione password e crittografia di Knox tecnologia nei dispositivi mobili Nota annuncio Galaxy di Samsung (Android-based) ha provocato un sacco di risposte e confutazioni.
Secondo un avviso, che è stato pubblicato la scorsa settimana, un PIN selezionato durante l'installazione di App Knox su dispositivi Samsung viene salvata in chiaro. L'autore ha anche criticato le librerie che vengono utilizzate per ricavare le chiavi di crittografia di Knox personale su Galaxy S4. In risposta alla comunicazione critica, Samsung rivelato che Knox Personal è già stato sostituito, ed i problemi di sicurezza sono stati eliminati su Knox versione enterprise.
Un ricercatore con Azimuth Security ha detto che a quanto pare la versione testata del dispositivo era vecchio e non è inteso per uso aziendale. I difetti che sono stati segnalati nella relazione non influiscono utenti l'ultima versione di Knox e non sono mai stati una minaccia per gli utenti della versione Enterprise.
Il rapporto è stato pubblicato pochi giorni dopo NSA (National Security Agency) come dispositivi Galaxy inclusi che girano Knox nelle sue soluzioni commerciali per il programma di annuncio.
→Samsung Knox offre funzioni di sicurezza che permettono di business e contenuti personali di coesistere sullo stesso portatile. L'utente preme un'icona che passa dal personale al lavoro uso senza alcun ritardo o riavviare il tempo di attesa. (Wikipedia)
Qui sono i tre punti principali esposti nella relazione e come Samsung ha risposto a loro in una dichiarazione Venerdì scorso.
Una Macchina Biblioteca Mealy, Utilizzati nel processo di Key Generation
Samsung afferma che basata su password su Derivazione Tasto Funzione 2 (PBKDF2) è usato in Knox 1.0. Il suo scopo è quello di generare una chiave di crittografia mediante la combinazione di un generatore di numeri casuali sui dispositivi e la password dell'utente. La derivazione della chiave è stata rafforzata in Knox 2.0 seguendo il Common Criteria raccomandazione MDFPP.
La chiave di crittografia che è necessario per Auto-Mount File System del contenitore viene salvato nella TrustZone
Questa affermazione è stata confermata da Samsung, ma la società sottolinea che l'accesso a questa chiave è controllato. Si può essere recuperato solo da processi di sistema di fiducia. E se un sistema viene compromessa, KNOX Trusted Boot si blocca chiavi container.
KNOX container Stores un PIN alternativa in chiaro per la reimpostazione delle password
L'azienda nega assolutamente questo per i contenitori di impresa. Invece, conta su amministratori IT di ripristinare e modificare le password, tramite il loro agente MDM. Samsung conferma le informazioni per Knox 1.0 Contenitori personali, affermando che questi contenitori non sono gestite da un agente MDM e memorizzare un PIN alternativa o affidarsi a un account Samsung per recuperare le password. I contenitori personali non possono essere creati su KNOX 2.0 valuta.
