Los investigadores de seguridad han descubierto una vulnerabilidad en YubiKey 5 que permitiría a un hacker dedicado e ingenioso clonar el dispositivo. Como visto por primera vez por Ars Technica, la vulnerabilidad se debe a una falla criptográfica, un canal lateral, en el microcontrolador de los dispositivos.
Millones de personas utilizan YubiKeys como parte de un sistema de autenticación multifactor para mantener bloqueadas cuentas confidenciales. El argumento es que alguien que intente ingresar a su cuenta bancaria o servidores corporativos necesitaría acceso físico a la clave para ingresar. Una contraseña es relativamente fácil de suplantar, pero un dispositivo físico como YubiKey hace que la entrada sea casi imposible.
YubiKeys son hardware FIDO, lo que significa que utilizan un sistema criptográfico estandarizado llamado Algoritmo de firma digital de curva elíptica (ECDSA). NinjaLab arraigó a través de ECDSA, realizó ingeniería inversa en parte de su biblioteca criptográfica y diseñó su ataque de canal lateral.
La nueva vulnerabilidad lo hace posible, siempre que tengan mucho tiempo, inteligencia y dinero. yubico reveló la vulnerabilidad en su sitio web junto con un informe detallado de investigadores de seguridad en NinjaLab.
“Un atacante podría aprovechar este problema como parte de un ataque sofisticado y dirigido para recuperar las claves privadas afectadas. El atacante necesitaría posesión física de YubiKey, Security Key o YubiHSM, conocimiento de las cuentas a las que desea apuntar y equipo especializado para realizar el ataque necesario”, Yubico. explicado en su sitio. “Dependiendo del caso de uso, el atacante también puede requerir conocimientos adicionales, incluido el nombre de usuario, el PIN, la contraseña de la cuenta o la clave de autenticación”.
Según NinjaLab, la vulnerabilidad afecta a todos los YubiKey 5 que utilizan firmware 5.7 o inferior, así como a “todos los microcontroladores de seguridad Infineon que ejecutan la biblioteca de seguridad criptográfica Infineon”. NinjaLab arrancó una llave, la conectó a un osciloscopio y midió las pequeñas fluctuaciones en la radiación electromagnética emitida por la llave mientras se autenticaba.
Por lo tanto, cualquiera que desee acceder a algo protegido por una de estas claves tendría que acceder a él, derribarlo y utilizar conocimientos y equipos sofisticados para clonar la clave. Luego, suponiendo que no quieran ser descubiertos, tendrían que volver a armar la llave original y devolvérsela al propietario.
“Tenga en cuenta que el costo de esta configuración es de aproximadamente [$10,000]”, dijo NinjaLab. El uso de un osciloscopio más sofisticado podría aumentar el costo de toda la operación en 30.000 dólares adicionales.
NinjaLab señaló que esta vulnerabilidad podría extenderse a otros sistemas que utilicen el mismo microcontrolador que YubiKey 5, pero aún no los había probado. “Estos microcontroladores de seguridad están presentes en una amplia variedad de sistemas seguros, que a menudo dependen de ECDSA, como pasaportes electrónicos y carteras de hardware de criptomonedas, pero también en automóviles o hogares inteligentes”, dijo. “Sin embargo, no hemos comprobado (todavía) que el ataque EUCLEAK se aplique a ninguno de estos productos”.
NinjaLab destacó repetidamente en su investigación que explotar esta vulnerabilidad requiere recursos extraordinarios. “Por lo tanto, en lo que respecta al trabajo presentado aquí, aún es más seguro usar su YubiKey u otros productos afectados como token de autenticación de hardware FIDO para iniciar sesión en aplicaciones en lugar de no usar uno”, dijo.
