Klucze YubiKey podatne na klonowanie. Badacze wykryli lukę

Podatność szczegółowo opisali w raporcie badacze NinjaLab i nawali ją „EUCLEAK”. Luka występuje w zabezpieczeniach biblioteki kryptograficznej Infineon Technologies.

Podatność EUCLEAK

Chodzi konkretnie o side channel biblioteki i użyty tam algorytm ECDSA (ang. Elliptic Curve Digital Signature Algorithm, pl. algorytm krzywych eliptycznych).

ECDSA jest powszechnie używane w standardzie uwierzytelniania FIDO (Fast Identity Online). Atak typu side-channel na ECDSA pozwolił badaczom na wydobycie prywatnego klucza urządzenia.

Luka odkryta przez NinjaLab pozostawała niezauważona przez 14 lat.

YubiKey z ostrzeżeniem

Producent YubiKey wydał ostrzeżenie dotyczące podatności. „Atakujący może wykorzystać ten problem jako część wyrafinowanego i ukierunkowanego ataku w celu odzyskania dotkniętych nim kluczy prywatnych” - napisano.

Aby atak się udał, oszust musi fizycznie posiadać klucz i znać konta, które chce zaatakować, a także mieć dostęp do specjalistycznego sprzętu. W niektórych przypadkach może też potrzebować dodatkowych informacji, w tym nazwy użytkownika, kodu PIN czy hasła do konta.

Podatne urządzenia

Luka występuję w następujących kluczach:

• YubiKey 5 Series – wersje wcześniejsze niż 5.7
• YubiKey 5 FIPS Series – wersje do 5.7
• YubiKey 5 CSPN Series - wersje do 5.7
• YubiKey Bio Series v- wersje do 5.7.2
• Security Key Series - wersje do 5.7
• YubiHSM 2 - wersje do 2.4.0
• YubiHSM 2 FIPS - wersje do 2.4.0

Aby sprawdzić, jakiego typu mamy urządzenie, można skorzystać z aplikacji Yubico Authenticator, udostępnionej przez firmę.

Luka obejmuje również inne produkty wykorzystujące bibliotekę kryptograficzną Infineon, w tym niektóre moduły Trusted Platform Module (TPM) i krytyczne systemy, takie jak paszporty elektroniczne czy portfele kryptowalut.

Biblioteka Infineon usunięta

Firma Yubico zapewnia, że usunęła „zależność od biblioteki kryptograficznej Infineon na rzecz własnej biblioteki kryptograficznej Yubico”.