研究人员发现Yubikeys中存在一个难以利用但也难修复的漏洞

1輩吇筷楽 · 发表于 2024-9-6 16:18:46

Yubikeys 是使用最广泛的双因素身份验证（2FA）硬件工具之一，某些版本容易受到侧信道攻击。

NinjaLab 的安全专家兼联合创始人 Thomas Roche 发现 YubiKey 5 系列设备包含一个加密漏洞，当攻击者获得对它们的临时物理访问权限时，它们很容易被克隆。

虽然漏洞无法修复，但也很难被利用。

了解如何使用 Yubikey

Yubikeys 是由 Yubico 开发的基于 USB 的物理安全设备，在登录在线帐户时增加了一层额外的保护。它们通常用于 2FA，除了密码外，还需要物理设备才能访问您的帐户。

Yubikeys 被许多安全专家认为是多因素身份验证（MFA）最安全的硬件选项之一，特别是因为它们通常支持 Fast Identity Online 2 （FIDO2）标准。

FIDO2 身份验证由 FIDO 联盟和万维网联盟（W3C）联合开发，基于公钥加密，比基于密码的身份验证更安全，并且更能抵抗网络钓鱼和其他攻击。

14 年未被注意到的侧信道漏洞

在执行他称为 EUCLEAK 的侧信道攻击时，Roche 在许多 YubiKey 产品使用的加密库中发现了一个漏洞，该漏洞允许他克隆这些设备。

侧信道攻击是一种入侵尝试，旨在利用设备或系统的物理特性来提取敏感信息。

研究人员指出，侧信道漏洞是最大的安全元件制造商之一英飞凌科技公司提供的库中的加密漏洞，14 年来一直没有引起注意，并进行了大约 80 次最高级别的通用标准认证评估。

研究人员在公布他的经历结果之前联系了 Yubiso。

受影响的 Yubikey 设备

在公开公告中，Yubico 承认了该漏洞，并指定受影响的设备是：

较新的版本不受影响。

复杂的 Yubikey 漏洞利用场景

主要制造商表示，该漏洞的严重性为“中等”。

这部分是因为它相对难以利用。罗氏使用价值 11,000 欧元的材料来执行 EUCLEAK 攻击，并可以物理访问该设备——这两个标准可能令人望而却步。

Roche 提供了一个典型的攻击场景，可以成功利用 Yubikey 漏洞：

攻击者窃取了受 FIDO 保护的受害者应用程序帐户的登录名和密码（例如，通过网络钓鱼攻击）
攻击者在有限的时间内对受害者的设备进行物理访问，而受害者没有注意到
由于被盗受害者的登录名和密码（对于给定的应用程序帐户），攻击者在执行侧信道测量时，根据需要多次向设备发送身份验证请求
攻击者悄悄地将 FIDO 设备归还给受害者
攻击者对测量结果执行侧信道攻击，并成功提取链接到受害者应用程序账户的椭圆曲线数字签名算法（ECDSA）私钥
攻击者可以在 FIDO 设备或受害者没有注意到的情况下登录受害者的应用程序帐户。换句话说，攻击者为受害者的应用程序账户创建了 FIDO 设备的克隆。只要合法用户不撤销其身份验证凭证，此克隆就会授予对应用程序账户的访问权限。