Penyelidik keselamatan telah menemui kerentanan dalam model YubiKey 5 tertentu yang secara teori membolehkan penggandaan, tetapi pakar mencadangkan risiko sebenar masih rendah bagi kebanyakan pengguna.
 |
|---|
| Gambar terperinci kunci keselamatan YubiKey 5C, menggambarkan perkakasan yang terjejas oleh kelemahan yang baru ditemui |
Kerentanan
Penyelidik di NinjaLab telah mengenal pasti serangan saluran sampingan yang mengeksploitasi kelemahan kriptografi dalam mikropengawal Infineon SLE78 yang digunakan dalam peranti YubiKey 5. Kerentanan ini berpotensi menjejaskan berjuta-juta pengguna yang bergantung pada kunci ini untuk pengesahan pelbagai faktor untuk mengamankan akaun sensitif.
Peranti yang Terjejas
Produk YubiKey berikut dengan versi perisian tegar sebelum 5.7 terjejas:
- Siri YubiKey 5
- Siri YubiKey 5 FIPS
- Siri YubiKey 5 CSPN
- Siri YubiKey Bio (sebelum 5.7.2)
- Siri Security Key
- YubiHSM 2 (sebelum 2.4.0)
Serangan: Canggih dan Memerlukan Sumber Intensif
Walaupun kerentanan ini membimbangkan, mengeksploitasinya memerlukan:
- Pemilikan fizikal YubiKey
- Peralatan khusus (osiloskop)
- Pengetahuan teknikal yang tinggi
- Masa dan sumber yang besar
NinjaLab menganggarkan kos peralatan yang diperlukan kira-kira $10,000, dengan persediaan mewah berpotensi mencecah $40,000.
Respons Yubico
Yubico telah mengakui kerentanan tersebut dan mengeluarkan perisian tegar yang dikemas kini (versi 5.7 dan lebih baharu) yang menangani isu ini. Walau bagaimanapun, disebabkan sifat kunci yang tahan gangguan, peranti sedia ada tidak boleh ditampal.
Adakah Anda Perlu Bimbang?
Walaupun terdapat kerentanan, pakar keselamatan menekankan bahawa penggunaan YubiKey masih memberikan perlindungan yang jauh lebih kuat daripada hanya bergantung pada kata laluan. Sifat serangan yang canggih menjadikannya tidak mungkin menjadi ancaman meluas bagi kebanyakan pengguna.
Apa yang Perlu Dilakukan oleh Pengguna
- Periksa versi YubiKey anda menggunakan aplikasi Yubico Authenticator
- Jika menggunakan model yang terjejas, pertimbangkan untuk menaik taraf ke versi yang lebih baharu untuk aplikasi kritikal
- Teruskan menggunakan YubiKey anda, kerana ia masih menawarkan perlindungan yang kuat terhadap vektor serangan biasa
Implikasi Lebih Luas
Kerentanan yang ditemui mungkin melangkaui YubiKey kepada peranti lain yang menggunakan mikropengawal Infineon SLE78, termasuk pasport elektronik dan dompet perkakasan mata wang kripto. Penyelidikan lanjut sedang dijalankan untuk menentukan skop penuh isu ini.
Walaupun kerentanan YubiKey 5 adalah peringatan bahawa tiada penyelesaian keselamatan yang sempurna, ia juga menekankan kepentingan penyelidikan keselamatan yang berterusan dan nilai pengesahan berasaskan perkakasan dalam mewujudkan lapisan pertahanan yang kukuh.