Falha em Chip compromete Chave RSA

Séria falha em chip de criptografia permite a reprodução do par de chaves RSA a partir da chave pública

 

Microsoft, Google, Lenovo, HP e Fujitsu estão alertando seus clientes de uma vulnerabilidade potencialmente séria na biblioteca criptográfica RSA amplamente utilizada produzida pelo fabricante alemão de semicondutores Infineon Technologies.

Após a notícia da vulnerabilidade KRACK que afeta o protocolo de criptografia de redes WiFi WPA2, vemos agora um novo e preocupante anuncio de vulnerabilidade que afeta a a geração de chaves do protocolo RSA.

Vale ressaltar que esta vulnerabilidade relacionada ao criptografia (CVE-2017-15361) não afeta a criptografia da curva elíptica e o próprio padrão de criptografia, mas sim na implementação da geração de par de chaves RSA pelo Trusted Platform Module (TPM) da Infineon.

O Trusted Platform Module da Infineon (TPM) é um microcontrolador dedicado, amplamente utilizado, projetado para proteger o hardware integrando chaves criptográficas em dispositivos e é usado para processos de criptografia protegidos.

Esta vulnerabilidade algorítmica de 5 anos foi descoberta por pesquisadores de segurança da Universidade Masaryk na República Tcheca, que lançaram uma postagem no blog com mais detalhes sobre a fraqueza e uma ferramenta online para testar se as chaves RSA são vulneráveis a essa falha perigosa.

Apelidado como ROCA (Return of Coppersmith’s Attack), o ataque de fatorização introduzido pelos pesquisadores poderia potencialmente permitir que um invasor remoto voltasse a calcular uma chave de criptografia privada apenas por ter uma chave pública de um alvo.

Somente o conhecimento de uma chave pública é necessário e nenhum acesso físico ao dispositivo vulnerável é necessário“, disseram os pesquisadores. “A vulnerabilidade NÃO depende de um gerador de números aleatórios fraco ou falso – todas as chaves RSA geradas por um chip vulnerável são afetadas“.

Isso pode eventualmente permitir que o atacante se faça representar como proprietário da chave, decodifique os dados confidenciais da vítima, injete código malicioso em software assinado digitalmente e proteja as restrições que impedem o acesso ou a manipulação do computador visado.

O ROCA afeta chips fabricados pela Infineon desde 2012 e afeta a geração de chaves que incluem as de 1024 e 2048 bits, que ão muito utilizadas em cartões de identificação, PC Motherboards, Tokens, proteção de browsers, assinatura de softwares e protocolos de proteção com o PGP.

A maioria dos equipamentos Windows e Google Chromebook  desenvolvidos pela HP, Lenovo e Fuijitsu estão sujeitos ao ataque.

Os pesquisadores publicaram no blog detalhes da falha, ferramentas de detecção, mitigação e soluções alternativas.

 

Veja também WPA2 pode ser Hackeado no Processo de Handshake


fonte The Hacker News 

por MindSec   18/10/2017

 

About mindsecblog 294 Articles

Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.