硬件密钥集体破防,英飞凌芯片暗藏14年高危漏洞

发布时间:2024-09-12  

多年以来,硬件密钥一直被视为保护个人隐私和敏感数据的最后一道防线,然而最新研究发现,这些被认为牢不可破的“安全硬件”,实际上暗藏严重漏洞。


近日,来自NinjaLab的研究团队发表了一篇题为“EUCLEAK”的技术论文,披露英飞凌(Infineon)安全微控制器中存在一个重大侧信道漏洞。该漏洞影响了广泛应用于电子护照、加密货币硬件钱包、智能汽车和FIDO硬件认证设备(如YubiKey 5系列)的加密库。


由于漏洞波及范围广大,影响深远,这一发现立刻引发了安全行业的广泛关注。


“最流行硬件密钥”YubiKey被破解


YubiKey 5系列硬件密钥产品是当下最流行的FIDO硬件令牌,内置了英飞凌的SLE78安全微控制器,以确保设备的高安全性。然而,研究人员发现,该微控制器在ECDSA实现中存在一个关键漏洞,可被攻击者利用并克隆密钥。


FIDO硬件令牌是一种用于网络服务身份验证的强认证工具,广泛应用于政府、企业和个人的敏感数据保护中。这些令牌通常嵌入安全元素(Secure Element),依赖椭圆曲线数字签名算法(ECDSA)作为其核心的加密原语。


该漏洞涉及一种非恒定时间的模逆运算,导致加密操作产生可预测的电磁辐射。研究人员通过分析电磁信号,发现攻击者可以利用这些泄露的信息推断出ECDSA私钥。具体而言,攻击者通过在受害设备附近部署特定的物理设备并进行几分钟的电磁侧信道采集,即可获得足够的信息来推导密钥。


研究的突破点是利用Feitian A22设备上的JavaCard开放平台进行逆向工程。该设备基于与YubiKey 5系列相同的Infineon SLE78微控制器,研究人员通过此平台发现了ECDSA实现中的侧信道漏洞,并成功设计了一种可行的攻击方法。最终,他们在YubiKey 5Ci设备上成功验证了该攻击。


产品漏洞顺利通过了80次顶级安全认证


该漏洞不仅影响YubiKey 5系列设备,还扩展至其他采用Infineon加密库的设备,如Optiga Trust M和Optiga TPM等安全微控制器。这些微控制器被广泛应用于各种复杂的安全系统,包括电子护照、智能家居、智能汽车等。尽管研究人员尚未确认该漏洞是否适用于所有这些系统,但潜在风险不容忽视。


根据论文,受影响的设备多达80款,且在过去14年中通过了多个最高级别的安全认证(如Common Criteria CC认证)。这一漏洞的长期未被发现,反映出即使是经过严格审查的加密系统,也可能存在未察觉的严重安全漏洞。


更糟糕的是,该漏洞还摧毁了人们对安全认证的信心,因为该漏洞在英飞凌顶级安全芯片中存在了14年之久,期间存在漏洞的芯片和加密库在2010年至2024年期间顺利通过了大约80次AVA VAN 4级(用于TPM)或AVA VAN 5级(用于其他芯片)的CC认证评估,(以及近30次证书维护)。


漏洞严重,但不紧急


尽管Yubikey等硬件密钥曝出高危漏洞,但对于普通用户来说,未必需要紧急停用或者更换密钥。研究人员强调,利用这一漏洞的前提条件相对苛刻。首先,攻击者需要物理访问目标设备,其次,还需要昂贵的设备、定制软件以及高度专业的技术能力(编者:克隆YubiKey密钥还需要需要掌握受害者的用户名和密码,以及对其YubiKey的物理访问权)。因此,在现实中,该漏洞被大规模利用的风险较低。


研究人员指出,对于普通用户而言,继续使用FIDO硬件令牌仍是抵御网络钓鱼攻击的最安全手段。虽然存在漏洞,但相比不使用硬件认证,使用受影响的FIDO令牌依然提供了更高的安全性。


未来应对措施


针对这一漏洞,研究人员提出了若干应对方案,包括加强物理防护、通过电磁干扰阻断侧信道、使用法拉第笼屏蔽设备外部的电磁辐射等。这些措施虽然有效,但在实际部署中可能带来较高的成本和复杂性。


此外,研究人员呼吁安全系统制造商尽快修复这一漏洞,尤其是那些依赖ECDSA加密的设备。未来的硬件设计中,应更加关注侧信道攻击的防御能力,并确保加密操作的时间一致性。


也有安全专家建议关注开源硬件密钥方案,例如Soma、Solokey、Nitrokey、Onlykeys等,虽然这些硬件密钥也都存在漏洞(有些甚至无法修复)。


文章来源于:电子工程世界    原文链接
本站所有转载文章系出于传递更多信息之目的,且明确注明来源,不希望被转载的媒体或个人可与我们联系,我们将立即进行删除处理。

我们与500+贴片厂合作,完美满足客户的定制需求。为品牌提供定制化的推广方案、专属产品特色页,多渠道推广,SEM/SEO精准营销以及与公众号的联合推广...详细>>

利用葫芦芯平台的卓越技术服务和新产品推广能力,原厂代理能轻松打入消费物联网(IOT)、信息与通信(ICT)、汽车及新能源汽车、工业自动化及工业物联网、装备及功率电子...详细>>

充分利用其强大的电子元器件采购流量,创新性地为这些物料提供了一个全新的窗口。我们的高效数字营销技术,不仅可以助你轻松识别与连接到需求方,更能够极大地提高“闲置物料”的处理能力,通过葫芦芯平台...详细>>

我们的目标很明确:构建一个全方位的半导体产业生态系统。成为一家全球领先的半导体互联网生态公司。目前,我们已成功打造了智能汽车、智能家居、大健康医疗、机器人和材料等五大生态领域。更为重要的是...详细>>

我们深知加工与定制类服务商的价值和重要性,因此,我们倾力为您提供最顶尖的营销资源。在我们的平台上,您可以直接接触到100万的研发工程师和采购工程师,以及10万的活跃客户群体...详细>>

凭借我们强大的专业流量和尖端的互联网数字营销技术,我们承诺为原厂提供免费的产品资料推广服务。无论是最新的资讯、技术动态还是创新产品,都可以通过我们的平台迅速传达给目标客户...详细>>

我们不止于将线索转化为潜在客户。葫芦芯平台致力于形成业务闭环,从引流、宣传到最终销售,全程跟进,确保每一个potential lead都得到妥善处理,从而大幅提高转化率。不仅如此...详细>>