اكتشف باحثون أمنيون ثغرة أمنية في YubiKey 5 تسمح لمخترق متخصص وذكي باستنساخ الجهاز. وكما اكتشفه موقع Ars Technica لأول مرة، فإن الثغرة الأمنية ترجع إلى خلل تشفيري، قناة جانبية، في وحدة التحكم الدقيقة في الأجهزة.
يستخدم ملايين الأشخاص مفاتيح YubiKey كجزء من نظام مصادقة متعدد العوامل للحفاظ على الحسابات الحساسة مغلقة. الفكرة هي أن أي شخص يحاول الدخول إلى حسابك المصرفي أو خوادم الشركة سيحتاج إلى الوصول المادي إلى المفتاح للدخول. من السهل نسبيًا التصيد باستخدام كلمة مرور، لكن جهازًا ماديًا مثل YubiKey يجعل الدخول مستحيلًا تقريبًا.
مفاتيح YubiKeys هي أجهزة FIDO، وهذا يعني أنها تستخدم نظام تشفير موحد يسمى خوارزمية التوقيع الرقمي المنحني الإهليلجي (ECDSA). قامت NinjaLab بتجذير ECDSA، وعكس هندسة بعض مكتبتها التشفيرية، وصممت هجومها الجانبي.
تتيح الثغرة الأمنية الجديدة ذلك، بشرط أن يتوفر لديهم الكثير من الوقت والأدمغة والمال. وقد كشفت شركة Yubico عن الثغرة الأمنية على موقعها الإلكتروني إلى جانب تقرير مفصل من باحثي الأمن في NinjaLab.
“وقد يستغل المهاجم هذه المشكلة كجزء من هجوم متطور ومستهدف لاستعادة المفاتيح الخاصة المتأثرة. وسيحتاج المهاجم إلى حيازة YubiKey أو Security Key أو YubiHSM، ومعرفة الحسابات التي يريد استهدافها، ومعدات متخصصة لتنفيذ الهجوم اللازم”، كما أوضحت شركة Yubico على موقعها. “اعتمادًا على حالة الاستخدام، قد يحتاج المهاجم أيضًا إلى معرفة إضافية بما في ذلك اسم المستخدم أو رقم التعريف الشخصي أو كلمة مرور الحساب أو مفتاح المصادقة”.
وبحسب شركة NinjaLab، فإن الثغرة تؤثر على جميع مفاتيح YubiKey 5 التي تستخدم البرامج الثابتة 5.7 أو ما دونها، فضلاً عن “جميع وحدات التحكم الدقيقة الأمنية من Infineon التي تعمل على مكتبة الأمان التشفيرية Infineon”. وقد قامت شركة NinjaLab بتفكيك مفتاح، وربطه بمذبذب، وقياس التقلبات الصغيرة في الإشعاع الكهرومغناطيسي الذي يصدره المفتاح أثناء مصادقته.
لذا فإن أي شخص يسعى إلى الوصول إلى شيء محمي بواسطة أحد هذه المفاتيح سوف يحتاج إلى الوصول إليه وتفكيكه واستخدام المعرفة والمعدات المتطورة لاستنساخ المفتاح. ثم، على افتراض أنه لا يريد أن يتم اكتشافه، فسوف يتعين عليه إعادة تجميع المفتاح الأصلي وإعادته إلى مالكه.
“لاحظ أن تكلفة هذا الإعداد تبلغ حوالي (10000 دولار)”، حسبما ذكر NinjaLab. إن استخدام منظار ذبذبات أكثر تطورًا قد يرفع تكلفة العملية بأكملها بمقدار 30000 دولار إضافية.
وأشارت شركة NinjaLab إلى أن هذه الثغرة الأمنية قد تمتد إلى أنظمة أخرى تستخدم نفس المتحكم الدقيق مثل YubiKey 5، لكنها لم تختبرها بعد. وقالت: “توجد هذه المتحكمات الدقيقة الأمنية في مجموعة كبيرة ومتنوعة من الأنظمة الآمنة – والتي تعتمد غالبًا على ECDSA – مثل جوازات السفر الإلكترونية ومحافظ الأجهزة للعملات المشفرة ولكن أيضًا السيارات أو المنازل الذكية. ومع ذلك، لم نتحقق (حتى الآن) من أن هجوم EUCLEAK ينطبق على أي من هذه المنتجات”.
أكدت شركة NinjaLab مراراً وتكراراً في بحثها أن استغلال هذه الثغرة الأمنية يتطلب موارد هائلة. وقالت الشركة: “وبالتالي، فيما يتعلق بالعمل المقدم هنا، لا يزال من الأفضل استخدام YubiKey أو المنتجات الأخرى المتأثرة كرمز مصادقة الأجهزة FIDO لتسجيل الدخول إلى التطبيقات بدلاً من عدم استخدامها”.