Luka bezpieczeństwa w YubiKey: szczegóły, zagrożenie i rekomendacje

Firma Yubico niedawno poinformowała o wykryciu luki w bibliotekach kryptograficznych procesora Infineon, który jest wykorzystywany w niektórych modelach kluczy YubiKey. Chociaż temat wzbudził sporo obaw, pragniemy uspokoić użytkowników – zagrożenie jest ograniczone, a atak wymaga bardzo specyficznych warunków, co czyni je mało prawdopodobnym.

Skąd pochodzi zagrożenie?

Luka dotyczy kryptograficznej biblioteki stosowanej w procesorach Infineon, odpowiadającej za zabezpieczenie przechowywanych danych i ich przetwarzanie. W wyniku wykrycia podatności okazało się, że możliwe jest osłabienie szyfrowania przy fizycznym dostępie do klucza i wysoce specjalistycznym sprzęcie. Mimo to, Yubico informuje, że większość nowoczesnych modeli kluczy YubiKey nie jest podatna na to zagrożenie – bezpieczne pozostają wszystkie klucze z serii YubiKey 5, Security Key od wersji 5.7, YubiKey BIO od wersji 5.7.2 oraz YubiHSM od wersji 2.4.

Warto podkreślić, że luka ma przypisany priorytet „severity 4,9/10”. To stosunkowo niskie oznaczenie pokazuje, że luka nie należy do kategorii krytycznych, a ryzyko jest ograniczone do specyficznych sytuacji.

Modele YubiKey, które są narażone

Podatne na ten błąd mogą być starsze modele kluczy YubiKey oraz niektóre inne urządzenia bezpieczeństwa oparte na procesorze Infineon. Klucze YubiKey oprogramowane w wersjach poniżej 5.7 mogą być narażone na wykorzystanie tej luki. Należy też pamiętać, że ze względu na specyfikę urządzeń YubiKey, aktualizacja oprogramowania układowego tych kluczy nie jest możliwa, co ogranicza możliwości ochrony poprzez aktualizacje.

Jak wygląda potencjalny atak?

By przeprowadzić atak, cyberprzestępca musiałby spełnić szereg bardzo specyficznych warunków. Luka umożliwia atak wyłącznie w ramach wyjątkowo ukierunkowanego i zaawansowanego działania. Kluczowe wymogi dla takiego ataku to:

1. Pozyskanie loginów i haseł do kont, które atakujący zamierza przejąć. Jest to możliwe najczęściej poprzez wcześniejsze zastosowanie technik phishingowych.
2. Fizyczny dostęp do klucza YubiKey – samo złamanie zabezpieczeń klucza jest niewystarczające bez fizycznego kontaktu z urządzeniem.
3. Demontaż klucza bez pozostawiania śladów – proces demontażu klucza YubiKey pozostawia trwałe uszkodzenia, dlatego trudne jest jego ponowne złożenie bez śladów.
4. Specjalistyczny sprzęt laboratoryjny – szacunkowo wyceniany na kilkadziesiąt tysięcy dolarów. Tylko wyspecjalizowane laboratoria lub instytucje mogą pozwolić sobie na tego rodzaju wyposażenie.

Powyższe wymagania sprawiają, że wykorzystanie luki jest możliwe jedynie w wyjątkowo wąskim zakresie i dla ataków wymierzonych w osoby lub instytucje, które posiadają bardzo cenne dane. Dla przeciętnego użytkownika szansa na tego rodzaju atak jest praktycznie znikoma.

Rekomendacje od Yubico

Yubico przedstawia kilka wskazówek, które pomagają zachować najwyższy poziom bezpieczeństwa:

1. Fizyczna kontrola nad kluczami YubiKey – klucz YubiKey, który pozostaje w rękach właściciela, jest praktycznie niewrażliwy na tego rodzaju atak. Jeśli klucz zostanie zgubiony lub skradziony, należy niezwłocznie wyrejestrować go ze wszystkich usług, w których był skonfigurowany.
2. Konfiguracja zapasowych metod uwierzytelniania – aby zminimalizować wpływ ewentualnej utraty klucza, warto w każdej usłudze skonfigurować alternatywny klucz YubiKey, który pozwoli na odzyskanie dostępu.
3. Ustawienie kodu PIN do klucza – jest to dodatkowa ochrona, która zabezpiecza przed nieautoryzowanym użyciem w przypadku fizycznego dostępu do klucza.

Szerszy kontekst – Infineon i inne urządzenia

Wykryta podatność dotyczy nie tylko kluczy YubiKey, lecz także innych urządzeń bazujących na procesorach bezpieczeństwa Infineon. Obejmuje to szeroki wachlarz urządzeń, takich jak:

• e-paszporty używane w wielu krajach na całym świecie,
• bezpieczne enklawy w smartfonach dużych producentów azjatyckich,
• portfele sprzętowe kryptowalut,
• karty SIM, moduły TPM (Trusted Platform Module) w laptopach oraz chipy w kartach kredytowych i debetowych.

Oznacza to, że problem dotyczy różnych dziedzin życia, w których stosuje się rozwiązania kryptograficzne. Chociaż szczegóły techniczne różnią się w zależności od urządzenia, samo istnienie luki wymusza na producentach wdrożenie dodatkowych zabezpieczeń.

Podsumowanie

Klucze YubiKey są nadal jednym z najbezpieczniejszych rozwiązań do uwierzytelniania, a wykryta podatność nie stanowi powodu do paniki. Yubico dokłada starań, aby zapewnić użytkownikom pełne informacje i wskazówki dotyczące bezpieczeństwa. Zalecamy użytkownikom, aby zawsze dbali o swoje klucze i stosowali się do powyższych rekomendacji. W przypadku dodatkowych pytań lub potrzeby pomocy, zapraszamy do kontaktu.

Dodatkowe informacje na temat luki można znaleźć w oficjalnym poradniku bezpieczeństwa: Security Advisory YSA-2024-03.