В ключах шифрования Google Titan и YubiKey обнаружена серьезная уязвимость

Уязвимость в микросхемах аппаратных ключей шифрования Google Titan и YubiKey выявлена французскими исследователями безопасности из NinjaLab Виктором Ломном и Томасом Рошем, 8 января сообщает американский портал новостей об информационных технологиях ZDNet.

Уязвимость позволяет злоумышленникам восстановить первичный ключ шифрования (алгоритм ECDSA), используемый аппаратным ключом безопасности для создания криптографических токенов для последующих операций двухфакторной аутентификации (2FA).

Согласно отчету исследователей, многократный запрос аутентификационного токена позволяет злоумышленнику получить и скопировать ключи с Titan, YubiKey и ряда подобных аппаратных устройств.

Уязвимость получила код CVE-2021-3011. Она не получила критический статус, поскольку может быть выполнена только локально. В принципе, отмечают исследователи, ключ может быть похищен на несколько часов (именно столько надо для получения первичного ключа) и скопирован, но возможность атаки по сети была бы куда опаснее.

Кроме того, чтобы выполнить атаку, нужно открыть корпус устройства, а сделать это, совсем не повреждая пластик, достаточно сложно. Исследователи рекомендовали использовать ключи безопасности, которые не подвержены обнаруженной уязвимости.