[SYSS-2025-015]：Verbatim Keypad Secure（安全更新v1.0.0.6）- 离线暴力破解攻击

顾问ID： SYSS-2025-015 产品： Keypad Secure USB 3.2 Gen 1 驱动器 制造商： Verbatim 受影响版本： 部件编号 #49427 (GDMSLK03A-IN3637 VER1.0) 部件编号 #49428 (GDMSLK03A-IN3637 VER1.0) 测试版本： 部件编号 #49427 (GDMSLK03A-IN3637 VER1.0) 部件编号 #49428 (GDMSLK03A-IN3637 VER1.0) 漏洞类型： 使用具有风险实现的加密原语（CWE-1240） 风险等级： 高 解决方案状态： 未解决 制造商通知： 2025-02-21 解决方案日期： - 公开披露： 2025-10-20 CVE参考： 尚未分配 顾问作者： Matthias Deeg, SySS GmbH

概述

Verbatim Keypad Secure是一款具有AES 256位硬件加密功能的U盘，带有内置键盘用于输入密码。

制造商对该产品的描述如下：

“AES 256位硬件加密通过内置键盘实时加密驱动器上的所有数据。该U盘不会在计算机或系统易失性内存中存储密码，使其比软件加密更安全。此外，如果落入他人手中，设备将在20次密码尝试失败后锁定并需要重新格式化。"[1]

由于不安全的设计，安装了最新安全更新[2]的Verbatim Keypad Secure U盘容易受到离线暴力破解攻击，攻击者可找出正确密码和相应的数据加密密钥，从而获得对存储加密数据的未授权访问。

漏洞详情

在分析安装了最新安全更新[2]的Verbatim Keypad Secure U盘时，Matthias Deeg发现由于不安全的设计，仍然可以对此设备执行离线暴力破解攻击。

与2022年发布的关于旧固件版本的暴力破解攻击相比（参见SySS安全公告SYSS-2022-001[3]，SySS技术博客文章[4]），使用最新固件版本的Verbatim Keypad Secure使用了不同的AES加密模式，即AES-XTS而不是AES-ECB，并且验证输入密码的逻辑已更改。

尽管如此，攻击者仍然可以获得执行离线暴力破解攻击所需的所有数据。

Verbatim Keypad Secure由以下四个主要部分组成：

1. M.2规格的SSD（SSD控制器MARVELL-88NV1120）
2. USB转SATA桥接控制器（INIC-3637EN）
3. 包含INIC-3637EN固件的SPI闪存芯片（XT25F01D）
4. 键盘控制器（未知芯片，标记为"SW611 2121”）

对于存储在SSD上的数据加密，使用了INIC-3637EN的硬件AES引擎。最新安全更新的固件版本使用AES-XTS-256（基于XEX的带密文窃取的调整码本模式[5]）。这种操作模式需要512位XTS密钥和所谓的128位调整值来解密不同的磁盘扇区。

实际数据加密的加密密钥，即所谓的数据加密密钥（DEK），存储在SSD的一个特殊扇区中，该扇区又使用所谓的密钥加密密钥（KEK）进行加密。

该KEK源自输入的密码，密码长度在5到12位之间，可由键盘控制器生成。

当按下Verbatim Keypad Secure上的解锁按钮时，生成的AES-XTS密钥的前半部分（32字节）通过SPI通信从键盘控制器传输到USB转SATA桥接控制器INIC-3637EN，与静态的AES-XTS密钥后半部分（32字节）一起配置相应的硬件AES引擎。

为了验证输入的密码，INIC-3637EN的固件使用提供的KEK读取并解密SSD上的特殊扇区，并检查特定数据偏移量以查找已知的字节模式。

如果此检查成功，则输入的密码及其派生的AES-XTS密钥被视为正确，使固件能够访问解密的DEK，然后可用于解密实际的SSD用户数据。

这种Verbatim Keypad Secure的设计允许进行离线暴力破解攻击以找到正确的密码和相应的DEK。攻击者可以为所有可能的密码生成派生的AES-XTS密钥（KEK），然后尝试正确解密特定SSD扇区的数据。如果生成的明文满足特定条件，则找到了正确的密码和数据加密密钥，从而允许获得对加密用户数据的未授权访问。

概念验证（PoC）

为了演示离线暴力破解攻击，Matthias Deeg开发了一个暴力破解软件工具，该工具检查5到12位所有可能密码的完整搜索空间。

以下输出示例显示了成功的攻击：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

# ./vks-cracker 2 /dev/sda
 █████   █████ █████   ████  █████████       █████████ 
             █████
░░███   ░░███ ░░███   ███░  ███░░░░░███     ███░░░░░███ 
           ░░███
 ░███    ░███  ░███  ███   ░███    ░░░     ███     ░░░  ████████ 
██████    ██████  ░███ █████  ██████  ████████
 ░███    ░███  ░███████    ░░█████████    ░███         ░░███░░███ 
░░░░░███  ███░░███ ░███░░███  ███░░███░░███░░███
 ░░███   ███   ░███░░███    ░░░░░░░░███   ░███          ░███ ░░░ 
███████ ░███ ░░░  ░██████░  ░███████  ░███ ░░░
  ░░░█████░    ░███ ░░███   ███    ░███   ░░███     ███ ░███ 
███░░███ ░███  ███ ░███░░███ ░███░░░   ░███
    ░░███      █████ ░░████░░█████████     ░░█████████  █████ 
░░████████░░██████  ████ █████░░██████  █████
     ░░░      ░░░░░   ░░░░  ░░░░░░░░░       ░░░░░░░░░  ░░░░░ 
░░░░░░░░  ░░░░░░  ░░░░ ░░░░░  ░░░░░░  ░░░░░
 ... finds out your passcode.

Verbatim Keypad Secure Cracker v0.8 by Matthias Deeg 
<matthias.deeg () syss de> (c) 2022,2025
- ---
[*] Initialize passcode hash table
[*] Found 16 CPU cores
[*] Reading magic sector from device /dev/sda
[*] Initialize passcode hash table
[*] Start cracking ...
[+] Success!
    The passcode is: 13372025
    The DEK is: 
8da22dcc4e6f42cef367d5d0d7bac017b55be4c84dd055d6f668f68d945788cdb86f54884d186dc7b1f9e9da8c748883aebb3fc2af6afc89bd5306cccdac890c
[*] Have a nice day.

解决方案

SySS GmbH尚未了解针对所述安全问题的解决方案。

披露时间线

2025-02-21：向制造商报告漏洞 2025-03-10：再次向制造商报告漏洞 2025-10-20：公开发布安全公告

参考

[1] Verbatim Keypad Secure产品网站 https://www.verbatim-europe.co.uk/en/prod/verbatim-keypad-secure-usb-32-gen-1-drive-64gb-49428

[2] Verbatim Keypad安全更新1.0.0.6 https://www.verbatim-europe.com/files/products/keypad-secure-usb-32-gen-1-drive/keypad-products-update-1006-manual.zip

[3] SySS安全公告SYSS-2022-001 https://www.syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2022-001.txt

[4] SySS技术博客：黑客攻击更多安全U盘（第一部分） https://blog.syss.com/posts/hacking-usb-flash-drives-part-1/

[5] 维基百科：磁盘加密理论 - XTS https://en.wikipedia.org/wiki/Disk_encryption_theory#XTS

[6] SySS安全公告SYSS-2025-015 https://www.syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2025-015.txt

[7] SySS GmbH，SySS负责任披露政策 https://www.syss.de/en/responsible-disclosure-policy

致谢

此安全漏洞由SySS GmbH的Matthias Deeg发现。

电子邮件：matthias.deeg (at) syss.de 公钥：https://www.syss.de/fileadmin/dokumente/PGPKeys/Matthias_Deeg.asc 密钥指纹 = D1F0 A035 F06C E675 CDB9 0514 D9A4 BF6A 34AD 4DAB

免责声明

本安全公告中提供的信息"按原样"提供，且不作任何明示或暗示的担保。本安全公告的详细信息可能会更新以提供尽可能准确的信息。本安全公告的最新版本可在SySS网站上获取。

版权

Creative Commons - Attribution (by) - Version 3.0 URL: http://creativecommons.org/licenses/by/3.0/deed.en