Nitrokeys bezpieczeństwo bez luk

Nitrokeys bezpieczeństwo bez luk.

Niedawno ujawniono znaczną lukę w zabezpieczeniach układów Infineon. 

Klucze bezpieczeństwa Nitrokeys nie zawierają układów Infineon, dlatego nie są dotknięte tą luką w zabezpieczeniach. 

Niemniej jednak incydent ten niesie ze sobą ciekawe wnioski.

- Certyfikaty bezpieczeństwa są przereklamowane,

- Oprogramowanie typu open source oferuje nad nimi przewagę. 

- Nitrokeys oferują wysoki poziom bezpieczeństwa dzięki aktualizacjom oprogramowania układowego.

Co się stało?

Dotknięte nią układy są używane w wielu kartach inteligentnych i małych urządzeniach, takich jak klucze bezpieczeństwa FIDO różnych producentów. Luka YSA-2024-03 umożliwia odczytanie kluczy kryptograficznych z układu, a tym samym całkowite złamanie zabezpieczeń oczekiwanych od sprzętu. Na przykład można utworzyć cyfrowy klon kluczy bezpieczeństwa FIDO i ostatecznie uzyskać dostęp do kont ofiary. Być może najgorszą rzeczą w tej luce jest to, że nie można jej naprawić za pomocą aktualizacji oprogramowania.

Cytowany NinjaLab szacuje, że luka istnieje od ponad 14 lat w topowych bezpiecznych układach Infineon.

W tym długim okresie 14 lat wyprodukowano i dostarczono wiele milionów układów w postaci kart inteligentnych i kluczy FIDO, z których wszystkie są teraz podatne na ataki. Nawet jeśli skalowanie jest dalekie od ataków czysto programowych, potencjalny zysk z ataków jest odpowiednio ogromny, co zwiększa prawdopodobieństwo ataków.

Bezużyteczne certyfikaty?

Te chipy i podatna na ataki część biblioteki kryptograficznej przeszły około 80 ocen certyfikacji CC poziomu AVA VAN 4 (dla TPM) lub AVA VAN 5 (dla pozostałych) od 2010 do 2024 roku (i nieco mniej niż 30 konserwacji certyfikatów).

Dotknięte chipy to nie byle jakie mikrokontrolery, ale chipy bezpieczeństwa, które otrzymały jedne z najsurowszych istniejących certyfikatów bezpieczeństwa. Oczywiste jest, że nawet te certyfikaty nie chroniły przed tym błędem rozwojowym. Czy więc certyfikaty bezpieczeństwa są bezcelowe? Nie uważamy, że są całkowicie bezcelowe, ponieważ w ramach takich certyfikacji producenci muszą wdrożyć mechanizmy bezpieczeństwa, od banalnych po wyrafinowane, w zależności od poziomu certyfikacji, a ich poprawna implementacja jest weryfikowana. Jednak incydent ten pokazuje, że certyfikaty bezpieczeństwa nie oferują absolutnego bezpieczeństwa. Co więcej, nie jest to pierwszy incydent bezpieczeństwa tego rodzaju, a amatorskie błędy bezpieczeństwa często były odkrywane w certyfikowanych urządzeniach. W 2019 r. opublikowano podobną lukę w zabezpieczeniach kluczy sprzętowych z certyfikatem FIPS, której również nie można było naprawić za pomocą aktualizacji oprogramowania. W 2010 r. stało się wiadome, że do szyfrowanych urządzeń pamięci masowej USB z certyfikatem FIPS 140-2 poziomu 2 od Kingston, SanDisk, Verbatim, MXI i PICO można łatwo uzyskać dostęp za pomocą standardowego hasła. Dlatego uważamy, że certyfikaty bezpieczeństwa są czymś miłym, ale ogólnie przereklamowanym.

Niemniej jednak Nitrokeys przeprowadził również certyfikację FIDO dla swojego klucza Nitrokey 3A Mini. Decydującym czynnikiem była chęć użytkowników do korzystania z Nitrokey w środowiskach, w których taka certyfikacja jest wymagana. Planuje kolejne certyfikacje w przyszłości, ale tylko tam, gdzie są one naprawdę niezbędne dla klientów.

Zalety oprogramowania open source

Certyfikaty bezpieczeństwa są zasadniczo zachętą (lub ograniczeniem) dla producentów, aby opracowywali wystarczająco bezpieczne produkty. Jednak nie jest to jedyny sposób na stworzenie takiej zachęty. Zamiast certyfikatów bezpieczeństwa, w Nitrokey polegają na oprogramowaniu open source i niezależnych, przejrzystych audytach bezpieczeństwa.

Daje to następujące korzyści:

Społeczeństwo ma dostęp do kodu źródłowego i może w każdej chwili zobaczyć jakość implementacji i wszelkie błędy.
Bezpieczeństwo przez niejasność nie jest możliwe. Podobnie jak certyfikaty, stanowi to ekonomiczną zachętę, która zapewnia wysoką jakość i bezpieczeństwo, ponieważ w przeciwnym razie wielu klientów nie kupiłoby produktów.
Koszty certyfikacji zaoszczędzić i przeznaczyć na rozwój.
Społeczność może zapewnić techniczne informacje zwrotne, wkład i poprawki w celu poprawy jakości.
Potencjalne tylne furtki, czy to złośliwe, czy wygodne, nie mogą być ukryte i dlatego są praktycznie niemożliwe.
Teoretycznie każdy użytkownik może sprawdzić poprawność, jakość i bezpieczeństwo implementacji.

Aby mieć pewność, że nawet niedoświadczeni technicznie użytkownicy i mniejsze firmy mogą zaufać Nitrokeys, od czasu do czasu producent zleca niezależne audyty bezpieczeństwa. I zawsze publikuje raporty z wynikami.

Bezpieczeństwo Nitrokey opiera się również na mikroprocesorach, które potencjalnie mogą mieć luki w zabezpieczeniach. W szczególności Nitrokey 3 wykorzystuje element bezpieczeństwa firmy NXP, który wykonuje podobne funkcje jak obecnie dotknięty układ Infineon. Jednak architektura Nitrokey opiera się w znacznie większym stopniu na oprogramowaniu, które można aktualizować. Aktualizacje oprogramowania układowego nie tylko pozwalają korygować Nitrokey wiele błędów wstecz, ale także wprowadzać nowe funkcje i ulepszenia w późniejszym terminie. Jeśli na przykład standard taki jak OpenPGP, FIDO2/WebAuthn/Passkeys zostanie dalej rozwinięty, Nitrokey udostępni go swoim klientom bezpłatnie (FIDO/CTAP 2.2 jest w trakcie opracowywania).
Oznacza to, że wydatki na Nitrokeys oferują większe bezpieczeństwo inwestycji niż w przypadku urządzeń, których nie można później poprawić i zaktualizować za pomocą aktualizacji oprogramowania układowego.

Źródło: Nitrokey
2024r.

Nitrokeys, FIDO, klucze bezpieczeństwa, certyfikaty bezpieczeństwa, oprogramowanie typu open source, bezpieczeństwo oparte na mikroprocesorach, security keys, security certificates, open source software, microprocessor-based security, Sicherheitsschlüssel, Sicherheitszertifikate, Open-Source-Software, mikroprozessorbasierte Sicherheit,