Yubiko'nun Yubikey 5 serisi gibi Infineon SLE78 güvenlik mikrodenetleyicisini kullanan Fido cihazlarında bulunan yeni bir "Eucleak" kusuru, saldırganların eliptik eğri dijital imza algoritması (ECDSA) gizli anahtarlarını çıkarmasına ve FIDO cihazını klonlamasına izin veriyor.
Ninjalab'ın kusuru keşfeden ve Eucleak yan kanal saldırısını tasarlayan Thomas Roche, yan kanalın EM alımlarını kullanarak bir ECDSA gizli anahtarını alabileceğini belirtiyor.
Bununla birlikte, saldırı genişletilmiş fiziksel erişim, özel ekipman ve elektronik ve kriptografi konusunda yüksek düzeyde anlayış gerektirir.
Bu önkoşullar riski önemli ölçüde azaltarak, çoğunlukla yüksek değerli hedeflere karşı son derece sofistike, devlet destekli tehdit aktörlerinden gelen saldırılarla sınırlandırıyor. Bununla birlikte, Eucleak, teorik olarak savunmasız cihazlar kullananlar için bile genel kullanıcılar için bir tehdit olarak kabul edilmez.
2021'de Roche, Google Titan güvenlik anahtarlarını hedefleyen ve ECDSA özel anahtarını çıkarmasına ve cihazı klonlamasına izin veren bir yan kanal saldırısı buldu.
Kusur, Infineon'un kusurlu kriptografik kütüphanesini kullanan 5.7.0'dan daha eski ürün yazılımı sürümlerini çalıştıran Yubikey 5 Serisi cihazları etkiler.
EucLeak'in etkilenen modelleri şunlardır:
Satıcı, sorunu ılımlı olarak derecelendirerek, düşük riskini yansıtan sadece 4.9 CVSS puanı atadı.
Ayrıca, Yubico danışmanında, etkilenen anahtarlardan kimlik bilgilerini geri kazanmaya çalışan saldırganların, kullanıcı PIN'sini veya tam sömürü için biyometrik doğrulamayı gerektireceğini ve başarılı saldırıları daha da zorlaştıracağını belirtiyor.
Yubikey sahipleri, Yubikey Manager veya Yubikey Authenticator'ı kullanarak güvenlik anahtarlarının ürün yazılımı sürümünü kontrol edebilir.
Ne yazık ki, savunmasız bir sürüm kullanıyorsanız, bu kusuru azaltmak için ürün yazılımını en son 5.7.0 (Yubikey) veya 2.4.0 (Yubihsm) sürümlerine yükseltmenin bir yolu yoktur.
Satıcı, eliptik eğri (ECC) imzalama anahtarları yerine RSA imzalama tuşlarını kullanmanızı ve daha sık FIDO kimlik doğrulamaları gerektirecek şekilde kimlik sağlayıcı ayarlarından maksimum oturum süresini sınırlandırmanızı önerir.
Ninjalab, EucLeak'in ayrıca güvenli önyükleme, kimlik doğrulama ve kriptografik işlemler ve IoT cihazlarında kullanılan Infineon'un Optiga Trust M güvenlik mikro denetleyicisi için kullanılan Infineon TPM'lerini (SLB96XX) etkilediğini doğruladı.
Infineon TPM'leri, Samsung ve OnePlus'tan eski (2013 ve 2018 arasında) akıllı telefonların ve tabletlerin akıllı çevrelerinde ve ayrıca Lenovo, Acer, Dell, HP ve LG'den bazı tarihli (2010'ların ortalarından itibaren) dizüstü bilgisayar modellerinde kullanılır.
Akıllı kartlarda ve kimlik doğrulama sistemlerinde kullanılan Feitian A22 javacard, Infineon SLE78 mikrodenetleyici kullanılarak da etkilenir.
Potansiyel olarak etkilenen diğer cihazlar arasında e-pasaportlar, kripto para birimi donanım cüzdanları (soğuk cüzdanlar), IoT cihazları ve Infineon'un SLE78 kullanan herhangi bir FIDO cihazı bulunur.
NIST, kuantum hesaplamaya direnmek için ilk şifreleme araçlarını serbest bırakır
Kaynak: Bleeping Computer