驚！YubiKey FIDO 身份驗證器藏加密漏洞

據說，所有基於英飛凌 SLE78 微控制器的物理多因素身份驗證（MFA）密鑰都容易受到加密漏洞的影響。這包括被認爲是基於 FIDO 標準使用最廣泛的硬件令牌 YubiKey 5。

在一份深入的技術分析報告中，NinjaLab 的研究人員描述了他們是如何發現這個漏洞的，以及這對使用 YubiKey 5 的人意味着什麼。正如所解釋的那樣，SLE78 微控制器把橢圓曲線數字簽名算法（ECDSA）作爲其核心加密原語。簡而言之，ECDSA 是一種用於創建數字簽名的加密算法，如果黑客能夠讀取此簽名，那麼他們就能夠破壞整個令牌的安全性。

而這正是 NinjaLab 所做的，其通過採用一種被稱爲“側信道”的技術。這是一種安全攻擊的類型，在這類攻擊中，黑客利用從計算機系統物理實現中所獲得的信息，而非已實現算法中的弱點。這些攻擊通過觀察系統的運行方式來收集信息，比如其定時、功耗、電磁輻射，甚至聲音。

藉助 SLE78，生成不同的臨時密鑰花費的時間長短不一，而這是研究人員能夠讀取到的情況，並據此克隆他們自己的 YubiKey 5（這是一個超級簡化的解釋）。

這絕對是個重大的漏洞，但在實際應用場景中並非那麼容易複製。攻擊者首先需要知道受害者的登錄信息，並實際獲取到多因素身份驗證令牌。然後，他們需要把令牌拆開才能訪問其中的硬件，並使用價值達 11000 美元的設備進行讀取。讀取本身以及克隆設備的過程僅需幾分鐘。

這不是普通黑客能夠加以濫用的，但對於一個國家而言——絕對能夠（加以利用）。值得一提的是，目前不存在補丁或修復的辦法——所有運行版本低於 5.7 固件的 YubiKey 5 設備都存在永久性的漏洞。