研究：WD自我加密系列硬碟漏洞很多，加密功能等同虛設

Gunnar Alendal、Christian Kison與代號為modg的三名獨立資安研究人員釋出一份針對WD（Western Digital）硬碟的資安研究報告指出，WD旗下My Passport系列自我加密外接硬碟中，有多款含有眾多重大安全漏洞，允許駭客存取加密資料，其硬體加密功能等同虛設。

My Passport為WD專為行動裝置所設計的2.5吋外接式硬碟，視型號可支援USB、Thunderbolt或Firewire等連結埠，並有多款含有硬碟加密功能，也可設定存取資料的密碼。此次研究人員則鎖定支援USB介面的My Passport版本，藉由連結電腦的USB橋接器來進行加密與解密功能，所測試的外接硬碟使用了JMS538S、JMS569、SW6316、INIC-1607E、INIC-3608與OXUF943SE等型號的USB橋接器，涉及數十款硬碟產品。

報告指出，這次研究除了開發出各種不同的攻擊手法以取得這些完全加密且由密碼保護的硬碟資料之外，也發現許多安全威脅，包括很容易就能竄改韌體或可於使用者電腦上執行的軟體，以展開邪惡女僕（evil maid）攻擊或是植入惡意程式進行badUSB攻擊。

例如只要透過暴力破解密碼就能導致加密的資料加密金鑰（encrypted Data Encryption Key, eDEK）外洩，還能利用軟體取得每一款USB橋接器的韌體與eDEK，這些橋接器韌體的外洩將成為未來的安全隱憂，也有助於駭客暴力破解密碼。此外，WD的韌體更新機制亦不夠安全。

就算「硬體加密功能等同虛設」也完全沒關係！我們的My Passport買來，就從來都不使用「硬體加密功能」！