Nul
Bestand Foto
Gebrekkig chipsets worden gebruikt door Pc ‘ s voor het genereren van RSA-encryptie-sleutels hebben een kwetsbaarheid die is verzwakt, de beveiliging van de opgeslagen wachtwoorden van versleutelde schijven, documenten en meer.
Deze week hebben onderzoekers van het Centrum voor Onderzoek naar Cryptografie en Beveiliging bij de Masaryk Universiteit, tsjechische Republiek; Enigma Brug Ltd, Cambridge, verenigd koninkrijk; en Ca’ Foscari Universiteit van Venice, Italië, bleek de fout in cryptografische smartcards, security tokens, chipsets en veilige hardware geproduceerd door de duitse semiconductor bedrijf Infineon Technologies.
De ROCA kwetsbaarheid CVE-2017-15361, heeft betrekking op de Trusted Platform Module (TPM) gebruikt om cryptografisch ondertekenen en beveiligen van computer systemen en diensten. De bug werd ontdekt in de uitvoering van de RSA-sleutelpaar generatie in een cryptografische bibliotheek die wordt gebruikt door Infineon TPM producten, zodat wat wordt genoemd een “praktische ontbinding aanval.”
Dit type aanval kan een bedreiging acteur gebruik te maken van een doel-om de openbare sleutel te genereren van de private sleutel met wat tijd en energie. De aanval is mogelijk voor gemeenschappelijke sleutel lengtes, met inbegrip van 1024 en 2048 bits.
Een RSA-sleutels die door de onderneming is gebrekkig producten zijn niet echt gerandomiseerde, waardoor ze zwak en daarom crackable, en als de bug-gereden product line — inclusief NIST FIPS 140-2-en CC EAL 5+ – gecertificeerde apparaten — teruggaat tot begin 2012, deze producten zijn nu gemeengoed — het plaatsen van talloze zogenaamd beveiligde bestanden en toetsen op risico.
“Alleen de kennis van een openbare sleutel is nodig en geen fysieke toegang tot de kwetsbare apparaat vereist is,” zeggen de onderzoekers. “De kwetsbaarheid niet afhankelijk is van een zwakke of een defecte random number generator — alle RSA-sleutels gegenereerd door een kwetsbare chip worden beïnvloed.”
De aanval werd geverifieerd met behulp van willekeurig geselecteerde 1024-bits RSA-sleutels en voor een aantal geselecteerde 2048-bits sleutels.
Het team heeft verstrekt ruwe schattingen over hoe lang en hoe veel het zou kosten om aanvallers te kunnen kraken van een sleutel op basis van hun kennis van een publieke sleutel die gebaseerd is op een Intel E5-2650 v3@3GHz Q2/2014, zoals hieronder:
Een 512-bits RSA-sleutels – 2 CPU-uren (de kosten van $0.06)1024-bit RSA-sleutels – 97 CPU dagen (de kosten van de $40-$80)2048 bit RSA-sleutels – 140.8 CPU jaar (de prijs van $20.000 – 40.000 dollar)
4096-bits RSA-sleutels zijn niet praktisch om te kraken, maar de onderzoekers zeggen dat het mogelijk zou kunnen zijn “moet de aanval worden verbeterd.”
Infineon is cryptografische chips en TPMs zijn ook geïntegreerd binnen verificatie, handtekeningen en encryptie tokens van andere leveranciers en chips.
Met een dergelijk breed scala van toepassingen, tenzij opgelapt of gewerkt rond de bug zou kunnen breken de veiligheid van alles, van het coderen van de schijf voor beveiliging van uw account, veilig surfen, software ondertekening en verificatie tokens.
“De werkelijke impact van de kwetsbaarheid hangt af van het gebruik scenario, de beschikbaarheid van de publieke sleutels en de lengte van de toetsen die gebruikt worden, de” het team gezegd. “We gevonden en geanalyseerd kwetsbare toetsen in verschillende domeinen, waaronder elektronische burger documenten, authenticatie tokens, vertrouwde boot hardware -, software-pakket ondertekening, TLS/HTTPS toetsen en PGP. De momenteel bevestigde aantal kwetsbare sleutels te vinden is over 760,000 maar mogelijk tot twee tot drie grootheden meer kwetsbaar zijn.”
Google Chromebooks, HP, Lenovo en Fujitsu Pc ‘ s en laptops, naast routers en andere apparaten zijn alle getroffen.
Het is belangrijk op te merken dat de RSA-algoritmen zijn niet fout, maar buggy producten en dat betekent dat de uitvoering van de beveiliging algoritme niet correct gebeuren en zijn niet echt gerandomiseerde.
De onderzoekers hebben verstrekt offline en online hulpprogramma ‘ s voor gebruikers controleren om te zien of ze al dan niet worden beïnvloed.
Verkopers zijn niet links platte voeten. Ze kunnen al te maken hebben met de nasleep van de KRACKA Wi-Fi WPA2 aanval, maar tech giganten zoals Microsoft, Google, HP, Lenovo en Fujitsu hebben al geplaatst beveiligingsadviezen, patch updates en richtlijnen voor het verzachten van het probleem.
De onderzoekers ontdekten de fout in januari, maar nu dat Infineon en betrokken leveranciers zijn gezien het beste deel van een jaar aan het ontwikkelen van oplossingen, zijn ze van plan om te onthullen de volledige omvang van het beveiligingslek in de twee weken op de ACM Computer-en Communicatie-Beveiliging (CCS) conferentie.
Vorige en aanverwante dekking
Hier is elke patch voor KRACK Wi-Fi kwetsbaarheid nu verkrijgbaar SEC misleidende, malware gehost op ONS anc-server in de nieuwe DNS-aanval 500 miljoen Pc ‘ s worden gebruikt voor stealth cryptocurrency mijnbouw online
0