Des chercheurs en sécurité de NinjaLab ont développé une technique d'attaque par canaux auxiliaires, permettant de cloner des clés ECDSA stockées dans des tokens cryptographiques YubiKey 5 et d'autres appareils utilisant la bibliothèque cryptographique d'Infineon. L'attaque a reçu le nom de code EUCLEAK et, en plus des tokens équipés de chipsets Infineon SLE78, tels que YubiKey 5, elle peut être appliquée à de nombreux autres systèmes utilisant des microcontrôleurs d'Infineon, y compris les chips Infineon Optiga Trust M et Infineon Optiga TPM.
La capacité de mener cette attaque a été confirmée en pratique pour les clés YubiKey 5Ci et TPM sur les chipsets SLB96xx, tandis que pour d'autres appareils, elle reste théorique. La vulnérabilité dans les clés YubiKey 5 a été corrigée dans la version de firmware 5.7 par le remplacement de la bibliothèque cryptographique (le correctif ne s'applique qu'aux nouveaux appareils, car les appareils YubiKey déjà expédiés ne permettent pas la mise à jour du firmware). Des correctifs ont été développés pour la bibliothèque Infineon afin de bloquer la vulnérabilité, mais ils ne sont pas encore en service car ils n'ont pas été certifiés.
Outre les clés YubiKey 5, le problème touche potentiellement les puces TPM (Trusted Platform Module) des ordinateurs portables Lenovo, Dell et HP, les enclaves isolées des smartphones Samsung et OnePlus, les portefeuilles cryptographiques matériels, les cartes intelligentes, les cartes SIM et les puces EMV des cartes bancaires, ainsi que les puces de passeports électroniques utilisés en Chine, en Inde, au Brésil, aux États-Unis et dans certains autres pays asiatiques et européens.
Le danger de clonage des clés est compensé par les conditions et la complexité de la mise en œuvre de l'attaque : l'attaquant doit obtenir un accès physique à la clé et démonter celle-ci, en se débarrassant de l'enveloppe en plastique et de la coque blindée. Après une telle manipulation, le boîtier peut être recréé sur une imprimante 3D, mais il est assez difficile de rendre les manipulations invisibles. Le scan de la clé prend quelques minutes, mais il faut également environ une heure pour effectuer le démontage soigneusement et créer un nouveau boîtier. Après le scan, l'appareil peut être restitué à son propriétaire, mais pour recréer la clé ECDSA privée à partir des données obtenues, il faut encore environ 24 heures de calculs (il est noté que le processus peut être réduit à une heure en automatisant les opérations manuelles et en apportant des optimisations).
En plus d'un accès physique à la clé, pour réussir une attaque sur des services avec authentification multifacteur, l'attaquant doit également découvrir d'une manière ou d'une autre le nom d'utilisateur et le mot de passe du service, pour lequel la clé matérielle obtenue est utilisée pour une authentification supplémentaire. En cas d'utilisation d'une authentification sans mot de passe en modes FIDO2 Passwordless ou Passkey, il est nécessaire de reproduire un facteur biométrique unique (par exemple, une empreinte digitale).
La méthode d'attaque consiste à recréer les clés ECDSA stockées dans le token basé sur des données obtenues par l'analyse du signal électromagnétique émis par le token lors de la formation de signatures numériques, corrélant à l'information sur la clé éphémère ECDSA, suffisante pour restaurer la clé secrète en utilisant des méthodes d'apprentissage automatique. Dans le cas de YubiKey, pour initier des opérations avec la signature numérique, il est nécessaire de connaître le nom d'utilisateur et le mot de passe dans l'un des services où le token est utilisé comme un lien d'authentification supplémentaire.
Le problème est causé par l'utilisation dans la bibliothèque Infineon d'un algorithme non sécurisé pour le calcul de l'inverse modulo, dont le temps de calcul dépend des valeurs des données d'entrée (pour différents vecteurs, le temps de calcul de l'inverse modulo varie). Cette caractéristique permet, sur la base de l'analyse des variations du signal, d'extraire des informations sur des bits individuels lors des opérations avec le vecteur d'initialisation. Dans le cas de l'ECDSA, il suffit de déterminer quelques bits d'information sur le vecteur d'initialisation (nonce) pour effectuer une attaque par récupération séquentielle de l'ensemble de la clé privée. Pour réussir à recréer la clé, il est nécessaire d'intercepter l'activité lors de la génération d'environ 40 signatures numériques.
Pour analyser les émissions électromagnétiques lors de la génération de signatures numériques, un équipement professionnel d'une valeur supérieure à 10 000 dollars est nécessaire. Par exemple, lors de l'attaque, les chercheurs ont utilisé le système de mesure Langer ICR HH 500-6 (2 300 $), utilisé pour tester la compatibilité électromagnétique des microcircuits, l'amplificateur Langer BT 706, le micromanipulateur Thorlabs PT3/M (1 000 $) avec une résolution de 10 µm, le microscope numérique Dino-Lite AM4113TL (450 $) et l'oscilloscope à quatre canaux PicoScope 6424E (7 500 $) avec une résolution ADC de 8 bits.
Le scénario d'attaque sur les tokens YubiKey 5 se compose des étapes suivantes :
- Identification du nom d'utilisateur et du mot de passe du compte protégé par le token, par exemple, via une attaque de phishing.
- Obtenir discrètement un accès physique au token.
- Analyser les émissions électromagnétiques du token lors des opérations d'authentification en utilisant le nom d'utilisateur et le mot de passe précédemment obtenus.
- Rendre le token à la victime.
- Reconstituer la clé privée ECDSA associée au compte examiné par l'analyse des informations interceptées sur les émissions électromagnétiques.
- Créer un clone du token permettant d'accéder au compte sans que la victime ne s'en rende compte, sans avoir le token d'origine.
Source : opennet.ru
