YubiKey FIPS-sleutels teruggeroepen wegens beveiligingslek

[Captain Kirk]

Fabrikant Yubico heeft verschillende YubiKey FIPS-sleutels laten terugroepen wegens een beveiligingslek. Via de hardwarematige beveiligingssleutels kunnen gebruikers op hun accounts inloggen. Bij de kwetsbare sleutels kan de buffer met willekeurige waarden voorspelbare inhoud bevatten, wat de cryptografische operaties van de sleutel kan beïnvloeden.

Door de kwetsbaarheid kan een aanvaller die verkeer van de sleutel weet te onderscheppen tussen de FIDO-client en de dienst waarop wordt ingelogd, zich tegenover deze dienst als de beveiligingssleutel voordoen. In het geval de YubiKey wordt gebruikt voor het genereren van eenmalige wachtwoorden zou een aanvaller via malware op het systeem de wachtwoordvalidatiesequentie kunnen onderscheppen en opnieuw voor de YubiKey FIPS-sleutel afspelen. Op deze manier kunnen eenmalige wachtwoorden worden verkregen.

Yubico heeft de kwetsbaarheid zelf in maart gevonden. Het probleem speelt bij de YubiKey FIPS, YubiKey Nano FIPS, YubiKey C FIPS en YubiKey C Nano FIPS met firmware 4.4.2 en 4.4.4. Het probleem is in firmware 4.4.5 verholpen. Vanwege de kwetsbaarheid heeft Yubico kwetsbare sleutels teruggeroepen. Klanten die hun sleutel nog niet hebben teruggestuurd kunnen dat via deze pagina doen.

 

 

bron: security.nl