Forscher von NinjaLabs haben eine Sicherheitslücke entdeckt, die es erlaubt, bestimmte Hardwareschlüssel von Yubico zu klonen. Betroffen sind vor allem Schlüssel der Serie YubiKey 5 mit Softwareversion vor 5.7.
Der Fehler steckt im in einem Sicherheitschip von Infineon mit der Typenbezeichnung SLE78. Er erlaubt einen Seitenkanal-Angriff. Allerdings wird dafür ein physischer Zugriff auf den Hardwareschlüssel benötigt – sowie Geräte im Wert von rund 11.000 Dollar. Unter anderem ist es erforderlich, den Hardwareschlüssel zu öffnen, was ein unbemerktes Klonen erschwert. Um schließlich mit einen geklonten Hardwareschlüssel die Kontrolle über Nutzerkonten übernehmen zu können, muss ein Angreifer auch die Nutzernamen und Kennwörter kennen.
In einer Sicherheitswarnung listet Yubico alle betroffenen Schlüssel: YubiKey 5 Serie, YubiKey 5 FIPS Serie, YubiKey 5 CSPN Serie und Security Key Serie, jeweils mit Softwareversion vor 5.7, sowie YubiKey Bio Serie mit Softwareversion vor 5.7.2. Darüber hinaus sind die Schlüssel YubiHSM 2 und YubiHSM 2 FIPS mit Softwareversion vor 2.4.0 angreifbar. Nach Angaben des Herstellers wurde die Firmware-Version 5.7 im Mai veröffentlicht, sodass alle zuvor gekauften Schlüssel als angreifbar eingestuft werden müssen.
Welche Softwareversion auf einem Hardwareschlüssel von Yubico installiert ist, lässt sich mit der App Yubico Authenticator prüfen, die für Windows, macOS, Linux, Android und iOS verfügbar ist. Allerdings ist es nicht möglich, die Software betroffener Schlüssel zu aktualisieren – aus Sicherheitsgründen ist eine Update-Funktion nicht verfügbar. Nutzer, die YubiKey-Schlüssel in kritischen Bereichen wie Behörden, Finanzinstituten oder Gesundheitseinrichtungen einsetzen, sollten angreifbare Schlüssel austauschen.
Der Sicherheitscheck entzieht unsicheren Websites automatisch alle Berechtigungen. Zudem können Nutzer in Chrome künftig Websites…
Ontinue registriert einen Anstieg beim Anteil am Gesamtangriffsvolumen um 105 Prozent. Das Angriffsvolumen auf den…
Das o1 genannte Modell liegt als Preview vor. Bei einer Mathematikprüfung beantwortet es 83 Prozent…
Das Kennzeichen erhalten Zoom Workplace Pro und Zoom Workplace Basic. Es bescheinigt unter anderem aktuelle…
iOS und iPadOS erhalten Tab-Gruppen. Zudem unterstützt Chrome nun die Synchronisierung von Tab-Gruppen.
Sie befürchten einen Missbrauch der Identitäten von Verstorbenen. 60 Prozent befürworten deswegen eine Klärung des…