- YubiKey 5 dan perangkat lain memiliki kelemahan keamanan serius yang terkait dengan mikrokontroler Infineon.
- Kelemahan ini memungkinkan penyerang meniru YubiKey dengan mudah menggunakan perangkat Infineon SLE78.
- Yubico mengeluarkan peringatan keamanan terkait kerentanan perangkat YubiKey yang menggunakan firmware Infineon.
pibitek.biz -YubiKey 5, perangkat otentikasi dua faktor yang paling banyak digunakan dan mengandalkan standar FIDO, memiliki kelemahan keamanan yang serius. Kelemahan ini memungkinkan penyerang untuk meniru YubiKey 5 dengan mudah, cukup dengan mengakses perangkat secara fisik untuk waktu yang singkat. Kelemahan ini terletak pada sebuah mikrokontroler kecil yang digunakan dalam berbagai perangkat otentikasi lainnya, termasuk kartu pintar yang digunakan dalam transaksi perbankan, paspor elektronik, dan akses ke area terbatas.
2 – Apple Tertinggal dalam Pengembangan AI 2 – Apple Tertinggal dalam Pengembangan AI
3 – Serangan SIM-Swap: Akun SEC Diretas Secara Besar-Besaran 3 – Serangan SIM-Swap: Akun SEC Diretas Secara Besar-Besaran
Para peneliti telah memastikan bahwa semua model YubiKey 5 rentan terhadap pembajakan. Meskipun para peneliti belum menguji perangkat lain yang menggunakan mikrokontroler yang sama, seperti SLE78 yang diproduksi oleh Infineon dan mikrokontroler penerusnya yang dikenal sebagai Infineon Optiga Trust M dan Infineon Optiga TPM, mereka menduga bahwa perangkat apa pun yang menggunakan ketiga mikrokontroler tersebut dan perpustakaan kriptografi Infineon memiliki kerentanan yang sama. Yubico, perusahaan pembuat YubiKey, telah mengeluarkan peringatan keamanan terkait masalah ini.
Perusahaan tersebut bekerja sama dengan NinjaLab, perusahaan keamanan yang menemukan kelemahan ini dan menemukan cara untuk meniru YubiKey 5. Semua YubiKey yang menggunakan firmware versi 5.7 atau yang lebih lama rentan terhadap serangan. Sayangnya, tidak mungkin untuk memperbarui firmware pada YubiKey, yang berarti bahwa semua perangkat yang terpengaruh akan tetap rentan. Kelemahan ini disebut sebagai saluran samping, yang merupakan informasi yang bocor melalui aktivitas fisik perangkat, seperti radiasi elektromagnetik, penyimpanan data, atau waktu yang dibutuhkan untuk menyelesaikan tugas tertentu.
Dalam kasus ini, saluran samping adalah waktu yang dibutuhkan untuk melakukan perhitungan matematis yang disebut inversi modular. Perpustakaan kriptografi Infineon gagal menerapkan pertahanan umum yang disebut waktu konstan saat melakukan operasi inversi modular yang melibatkan Algoritma Penandatanganan Digital Kurva Eliptik (ECDSA). Waktu konstan memastikan bahwa waktu eksekusi operasi kriptografi yang sensitif terhadap waktu tetap seragam, bukan bervariasi tergantung pada kunci yang digunakan. Secara lebih spesifik, saluran samping terletak dalam implementasi Algoritma Euclidean yang Diperluas di Infineon.
Algoritma ini digunakan untuk menghitung inversi modular, di antara hal lainnya. Dengan menggunakan osiloskop untuk mengukur radiasi elektromagnetik saat token sedang melakukan otentikasi, para peneliti dapat mendeteksi perbedaan waktu eksekusi yang kecil yang mengumumkan kunci ECDSA sementara token, yang juga dikenal sebagai nonce. Analisis lebih lanjut memungkinkan para peneliti untuk mengekstrak kunci ECDSA rahasia yang menjadi dasar keamanan seluruh token. Hal ini memungkinkan penyerang untuk mereplikasi kunci otentikasi dan meniru YubiKey 5.
