EUCLEAK-Angriff, der es ermöglicht, YubiKey 5 und andere Schlüssel auf Infineon-Chips zu klonen.

Sicherheitsexperten von NinjaLab haben eine Angriffstechnik über Seitenkanäle entwickelt, die es ermöglicht, ECDSA-Schlüssel, die in YubiKey 5 und anderen Geräten gespeichert sind, zu klonen, in denen die Kryptografiebibliothek von Infineon verwendet wird. Der Angriff trägt den Code-Namen EUCLEAK und kann neben Tokens mit Infineon SLE78-Chips wie dem YubiKey 5 auch auf viele andere Systeme mit Mikrocontrollern von Infineon angewendet werden, einschließlich Infineon Optiga Trust M- und Infineon Optiga TPM-Chips.

Die Möglichkeit, den Angriff durchzuführen, wurde praktisch für YubiKey 5Ci- und TPM-Schlüssel auf SLB96xx-Chips bestätigt, während sie für andere Geräte theoretischer Natur ist. Bei YubiKey 5 wurde die Schwachstelle in der Firmware-Version 5.7 behoben, indem die Kryptografiebibliothek ersetzt wurde (der Fix gilt nur für neue Geräte, da bei bereits ausgelieferten YubiKey-Geräten kein Firmware-Update vorgesehen ist). Für die Infineon-Bibliothek wurden Patches entwickelt, die die Schwachstelle beheben, diese sind jedoch noch nicht implementiert, da sie nicht zertifiziert wurden.

Neben YubiKey 5 betrifft das Problem potenziell TPM-Chips (Trusted Platform Module) in Laptops von Lenovo, Dell und HP, isolierte Enklaven von Smartphones von Samsung und OnePlus, Hardware-Kryptowallets, Smartcards, SIM-Karten und EMV-Chips von Bankkarten sowie Chips in elektronischen Pässen, die in China, Indien, Brasilien, den USA und einigen anderen asiatischen und europäischen Ländern verwendet werden.

Die Gefahr des Klonens von Schlüsseln wird durch die Bedingungen und die Komplexität des Angriffs gemildert – der Angreifer muss physischen Zugang zum Schlüssel erhalten und ihn zerlegen, wobei das Kunststoffgehäuse und die Abschirmhülle entfernt werden. Nach einer solchen Manipulation kann das Gehäuse mit einem 3D-Drucker wiederhergestellt werden, jedoch ist es ziemlich schwierig, die Handhabung des Schlüssels unauffällig zu gestalten. Das Scannen des Schlüssels dauert einige Minuten, aber es werden noch etwa eine Stunde für die behutsame Zerlegung und die Erstellung eines neuen Gehäuses benötigt. Nach dem Scannen kann das Gerät dem Eigentümer zurückgegeben werden, aber um den privaten ECDSA-Schlüssel auf der Grundlage der erhaltenen Daten neu zu erstellen, sind weitere etwa 24 Stunden Rechenzeit erforderlich (es wird angemerkt, dass der Prozess auf eine Stunde verkürzt werden kann, indem manuelle Operationen automatisiert und Optimierungen vorgenommen werden).

Neben dem physischen Zugang zum Schlüssel benötigt ein Angreifer, um erfolgreich einen Angriff auf Dienste mit Mehrfaktorauthentifizierung durchzuführen, zusätzlich die Möglichkeit, den Benutzernamen und das Passwort des Dienstes zu erfahren, für den der erhaltene Hardware-Schlüssel zur zusätzlichen Authentifizierung verwendet wird. Im Falle der passwortlosen Authentifizierung in den FIDO2 Passwordless- oder Passkey-Modi muss ein einzigartiger biometrischer Faktor (zum Beispiel ein Fingerabdruck) reproduziert werden.

Die Angriffsmethode besteht darin, die im Token gespeicherten ECDSA-Schlüssel anhand von Daten, die durch die Analyse des elektromagnetischen Signals erhalten wurden, das das Token während der Erstellung digitaler Signaturen ausstrahlt, wiederherzustellen. Dieses Signal korreliert mit Informationen über den ephemeral ECDSA-Schlüssel, die ausreichen, um den geheimen Schlüssel mithilfe von Methoden des maschinellen Lernens wiederherzustellen. Im Falle von YubiKey ist es notwendig, den Benutzernamen und das Passwort in einem der Dienste zu kennen, in denen das Token als zusätzliche Authentifizierungsebene verwendet wird, um digitale Signaturoperationen einzuleiten.

Das Problem resultiert aus der Verwendung eines unsicheren Algorithmus zur Berechnung des modularen Inversen in der Infineon-Bibliothek, dessen Berechnung von der Eingabewerten abhängt (für verschiedene Vektoren wird unterschiedliche Zeit für die Berechnung des modularen Inversen benötigt). Diese Eigenschaft ermöglicht es, Informationen über einzelne Bits während der Durchführung von Operationen mit dem Initialisierungsvektor basierend auf der Analyse der Signaländerungen zu extrahieren. Im Falle von ECDSA reichen bereits die Informationen über mehrere Bits, die den Initialisierungsvektor (Nonce) betreffen, aus, um einen Angriffsversuch zu starten, der darauf abzielt, den gesamten privaten Schlüssel schrittweise wiederherzustellen. Um den Schlüssel erfolgreich wiederherzustellen, ist das Abfangen der Aktivität bei der Generierung von etwa 40 digitalen Signaturen erforderlich.

Für die Analyse der elektromagnetischen Strahlung während der Generierung digitaler Signaturen ist professionelles Equipment erforderlich, das mehr als 10.000 Dollar kostet. Beispielsweise wurde bei der Durchführung des Angriffs von den Forschern die Messanlage Langer ICR HH 500-6 ($2300) verwendet, die für Tests von Mikrocontrollern auf elektromagnetische Verträglichkeit eingesetzt wird, sowie der Verstärker Langer BT 706, der Mikromanipulator Thorlabs PT3/M ($1000) mit einer Auflösung von 10 µm, das digitale Mikroskop Dino-Lite AM4113TL ($450) und ein vierkanaliger Oszilloskop PicoScope 6424E ($7500) mit 8-Bit-ADC-Auflösung.

Das Angriffsszenario auf YubiKey 5-Token besteht aus den folgenden Schritten:

• Bestimmung des Benutzernamens und des Passworts für das durch das Token geschützte Konto, beispielsweise durch eine Phishing-Attacke.
• Unauffälliger physischer Zugang zum Token.
• Analyse der elektromagnetischen Strahlung des Tokens während der Authentifizierungsoperationen unter Verwendung der zuvor erhaltenen Anmeldedaten.
• Rückgabe des Tokens an das Opfer.
• Wiederherstellung des an das untersuchte Konto gebundenen ECDSA-Privatschlüssels durch Analyse der abgefangenen elektromagnetischen Strahlungsinformationen.
• Erstellung eines Klons des Tokens, der einen unauffälligen Zugang zum Konto des Opfers ohne das ursprüngliche Token ermöglicht.

Quelle: opennet.ru