Alfonso Maruccia

RSA: i nostri token stanno bene

Nessun problema, non c'è da preoccuparsi. L'azienda tenta di sgombrare il campo e rassicura i suoi clienti

Roma - No, i nostri token di sicurezza SecurID 800 non sono stati compromessi, il problema è noto ma non riguarda i nostri prodotti: così RSA risponde alla pubblicazione di un nuovo studio sulla vulnerabilità dei dispositivi per la crittografia USB, mostrando una certa sicurezza.

La vulnerabilità dei token USB evidenziata dallo studio è già nota da tempo, ammette RSA, ma l'azienda spiega in una lunga dissertazione come l'attacco e l'exploit risultino inutili perché non possono essere usati per "estrarre" le chiavi private (algoritmo RSA) ospitate sui token succitati.

I dispositivi per la generazione di password "usa-e-getta" continuano a essere sicuri, sostiene RSA, mentre più complessa sarebbe la situazione per quei dispositivi "multifunzione" che sfruttando la porta di connessione USB forniscono servizi aggiuntivi come l'archiviazione di certificati e la cifratura/decifratura di informazioni in formato digitale.
La vicenda token si inserisce in una striscia complicata per RSA. Non si è ancora del tutto sopita la discussione sulla vicenda dei token SecurID, e dunque è inevitabile che anche il solo annuncio di un exploit a questo tipo di tecnologia provochi un certo clamore.

Alfonso Maruccia
TAG: tecnologia, sicurezza, rsa, securid, token
Notizie collegate
  • SicurezzaRSA, quali e quante conseguenze?Solo ombre sul furto di token secureID: sembra esserci una lunga lista di aziende coinvolte. Ma nessuna conferma permette di accertarne la veridicità
  • SicurezzaRSA, crack per SecurID 800Uno studio descrive un exploit grazie al quale è possibile estrarre in pochi minuti le chiavi crittografiche presenti sui token venduti dalla società statunitense. Che comunque non è la sola a essere vulnerabile
2 Commenti alla Notizia RSA: i nostri token stanno bene
Ordina
  • Veramente... nr: crumiro
    È già QUALCHE ANNO che non stanno bene... ovvio che i giornalai del mondo sono stati ben lontani dallo scriverlo in giro.
    non+autenticato
    Scritto il 29/06/2012 alle 9.38
    Segnala abusi
     QuotaRispondi
  • l'rsa e' un po farlocca nr: styx
    Gia' la FAQ dice abbastanza bene cosa fa e cosa non fa l'attacco.

    # What are the prerequisites for these attacks?

    You need access to the UnwrapKey function. This could be achieved, for example, directly by putting malware on the host machine, or indirectly if the unwrap key functionality is exposed via a network protocol.

    # What are the consequences of these attacks?

    The modified version of the Bleichenbacher attack reveals a plaintext encrypted under an RSA key. That plaintext, in the context of the PKCS#11 UnwrapKey command, is a symmetric key. The same attack can also be used to forge a signature, though this takes longer. Our paper gives full details.

    The Vaudenay CBC attack may reveal either a symmetric key or a private RSA key if it has been exported from a device under a symmetric cipher like AES using CBC_PAD.

    # Do the attacks in the paper reveal the private half of RSA keypairs?

    Like the original algroithm, our version of the Bleichenbacher attack does not reveal the private half of the RSA key used for encryption.

    # Do your attacks reveal the seed values used to generate one time passwords (OTPs) on an RSA token?

    No.

    e sopratutto

    # Did you follow "responsible disclosure" procedures?
    Yes. All affected vendors were informed more then 12 months before the paper was published.
    non+autenticato
    Scritto il 29/06/2012 alle 1.18
    Segnala abusi
     QuotaRispondi