Mărește (credit: Yubico)
YubiKey 5, cel mai utilizat token hardware pentru autentificarea cu doi factori bazat pe Standardul FIDOconține un defect criptografic care face ca dispozitivul de dimensiunea unui deget să fie vulnerabil la clonare atunci când un atacator obține acces fizic temporar la el, au spus cercetătorii marți.
Defectul criptografic, cunoscut sub numele de a canal lateralrezidă într-un mic microcontroler utilizat într-un număr mare de alte dispozitive de autentificare, inclusiv smartcard-uri utilizate în servicii bancare, pașapoarte electronice și accesarea zonelor securizate. Deși cercetătorii au confirmat că toate modelele din seria YubiKey 5 pot fi clonate, nu au testat alte dispozitive folosind microcontrolerul, cum ar fi SLE78 fabricat de Infineon și microcontrolerele succesoare cunoscute sub numele de Infineon Optiga Trust M și Infineon Optiga TPM. Cercetătorii bănuiesc că orice dispozitiv care utilizează oricare dintre aceste trei microcontrolere și biblioteca criptografică Infineon conține aceeași vulnerabilitate.
Patch-ul nu este posibil
Creatorul YubiKey Yubico a emis un consultativ în coordonare cu a raport detaliat de dezvăluire de la NinjaLab, firma de securitate care a realizat inginerie inversă seria YubiKey 5 și a conceput atacul de clonare. Toate YubiKey-urile care rulează firmware înainte de versiunea 5.7 – care a fost lansată în mai și înlocuiește criptobiblioteca Infineon cu una personalizată – sunt vulnerabile. Actualizarea firmware-ului cheii pe YubiKey nu este posibilă. Acest lucru lasă toate YubiKeys afectate permanent vulnerabile.
Comentarii recente