۰۱ آبان ۱۳۹۶ - ۱۲:۵۶
مایکروسافت و گوگل به آسیب‌پذیری در کتابخانه‌ی رمزنگاری هشدار دادند
شرکت‌های مایکروسافت، گوگل، لنوو، اچ پی و فوجیتسو به مشتریان خود درباره‌ی یک آسیب‌پذیری جدی در کتابخانه‌ی رمزنگاری RSA هشدار دادند به نحوی که به مهاجم این امکان را می‌دهد که داده‌های حساس قربانی را رمزگشایی کند.
به گزارش ایران اکونومیست به نقل از مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای 'ماهر'، آسیب‌پذیری دیگری وجود دارد که می‌تواند بدتر از حمله KRACK برای وای‌فای باشد به نحوی که شرکت‌های مایکروسافت، گوگل،لنوو، اچ پی و فوجیتسو به مشتریان خود درباره‌ی یک آسیب‌پذیری جدی در کتابخانه‌ی رمزنگاری RSA هشدار دادند.
برای بهره‌برداری از این آسیب‌پذیری فقط داشتن کلید عمومی ضروری است و نیازی به دسترسی فیزیکی به دستگاه آسیب‌پذیر نیست. این آسیب‌پذیری به مهاجم این امکان را می‌دهد که داده‌های حساس قربانی را رمزگشایی کند، کد مخرب به نرم‌افزار امضاء شده‌ی دیجیتالی تزریق کند و حفاظت‌هایی که مانع دسترسی یا سوءاستفاده از کامپیوتر هدف می‌شوند را دور بزند.
این آسیب‌پذیری (CVE-2017-15361) مرتبط با رمزگذاری، مربوط به خود استاندارد رمزنگاری نبوده بلکه در پیاده‌سازی تولید جفت کلید RSA توسط TPM (Trusted Platform Module) اینفینئون (شرکت آلمانی تولیدکننده تجهیزات الکترونیکی و نیمه‌هادی‌ها) قرار دارد.
TPM یک میکروکنترلر اختصاصی است که به طور گسترده مورد استفاده قرار می‌گیرد و برای امن کردن سخت‌افزار از طریق ادغام کلید رمزنگاری در دستگاه‌ها طراحی شده و برای فرآیندهای رمزنگاری امن‌شده استفاده می‌شود.
این آسیب‌پذیری الگوریتمی سابقه 5 ساله داشته و به تازگی توسط محققان امنیتی در دانشگاه ماساریک در جمهوری چک کشف شده است.
برای اجرای حمله، فقط داشتن کلید عمومی ضروری است و نیازی به دسترسی فیزیکی به دستگاه آسیب‌پذیر نیست. این آسیب‌پذیری وابسته به تولید‌کننده‌ی عدد تصادفی معیوب و ضعیف نبوده و همه‌ی کلید‌های RSA تولید شده تراشه‌ی آسیب‌پذیر در معرض خطر قرار دارند.
سوءاستفاده از این آسیب‌پذیری به مهاجم این امکان را می‌دهد که داده‌های حساس قربانی را رمزگشایی کند، کد مخرب به نرم‌افزار امضاء شده‌ی دیجیتالی تزریق کند و حفاظت‌هایی که مانع دسترسی یا سوءاستفاده از کامپیوتر هدف می‌شوند را دور بزند.
****حمله‌ی ROCA میلیاردها دستگاه را در معرض خطر قرار می‌دهد
حمله‌ی ROCA بر روی تراشه‌های تولید‌شده از اوایل سال 2012 توسط اینفینئون و برای تمامی طول‌های کلیدی از جمله 1024 و 2048 بیت که معمولاً در کارت‌های شناسایی ملی، مادربردهای PC برای ذخیره‌ی امن رمزهای عبور، در توکن‌های احراز اصالت، در طول مرور امن وب و برای حفاظت از پیام مانند PGP استفاده شده است، تاثیر می‌گذارد.
این آسیب‌پذیری امنیت کامپیوتر‌های دولتی و سازمانی محافظت‌شده با استفاده از تراشه‌ها و کتابخانه‌ی رمزنگاری اینفینئون را نیز تضعیف می‌کند.
اکثر دستگاه‌های ویندوزی و ChromeBook گوگل که توسط HP، Lenovo و Fujitso توسعه‌یافته‌اند، تحت تاثیر حمله‌ی ROCA قرار دارند.
تعداد کل کلید‌های آسیب‌پذیر تایید‌شده تاکنون حدود 760000 است اما احتمالاً این تعداد دو تا سه برابر این مقدار است.
این آسیب‌پذیری در فوریه‌ی سال جاری به شرکت تکنولوژی‌های اینفینئون گزارش داده شد و محققان یافته‌های کامل خود را در تاریخ 2 نوامبر در کنفرانس ACM در بخش امنیت ارتباطات و کامپیوتر ارائه دادند. بنابراین شرکت سازنده زمان کافی برای تغییر کلید‌های رمزنگاری آسیب‌پذیر قبل از اینکه جزئیات نحوه‌ی کار آسیب‌پذیری و نحوه‌ی بهره‌برداری از آن منتشر شود، داشتند.
اکثر فروشندگان از جمله اینفینئون، مایکروسافت، گوگل، HP، لنوو و فوجیتسو به‌روزرسانی‌های نرم‌افزاری‌ای را برای سخت‌افزار‌ها و نرم‌افزار‌های مرتبط و همچنین دستورالعمل‌هایی را برای کاهش آسیب‌پذیری منتشر کرده‌اند.
برای بهره‌برداری از این آسیب‌پذیری فقط داشتن کلید عمومی ضروری است و نیازی به دسترسی فیزیکی به دستگاه آسیب‌پذیر نیست. این آسیب‌پذیری به مهاجم این امکان را می‌دهد که داده‌های حساس قربانی را رمزگشایی کند، کد مخرب به نرم‌افزار امضاء شده‌ی دیجیتالی تزریق کند و حفاظت‌هایی که مانع دسترسی یا سوءاستفاده از کامپیوتر هدف می‌شوند را دور بزند.
این آسیب‌پذیری (CVE-2017-15361) مرتبط با رمزگذاری، مربوط به خود استاندارد رمزنگاری نبوده بلکه در پیاده‌سازی تولید جفت کلید RSA توسط TPM (Trusted Platform Module) اینفینئون (شرکت آلمانی تولیدکننده تجهیزات الکترونیکی و نیمه‌هادی‌ها) قرار دارد.
TPM یک میکروکنترلر اختصاصی است که به طور گسترده مورد استفاده قرار می‌گیرد و برای امن کردن سخت‌افزار از طریق ادغام کلید رمزنگاری در دستگاه‌ها طراحی شده و برای فرآیندهای رمزنگاری امن‌شده استفاده می‌شود.
این آسیب‌پذیری الگوریتمی سابقه 5 ساله داشته و به تازگی توسط محققان امنیتی در دانشگاه ماساریک در جمهوری چک کشف شده است.
برای اجرای حمله، فقط داشتن کلید عمومی ضروری است و نیازی به دسترسی فیزیکی به دستگاه آسیب‌پذیر نیست. این آسیب‌پذیری وابسته به تولید‌کننده‌ی عدد تصادفی معیوب و ضعیف نبوده و همه‌ی کلید‌های RSA تولید شده تراشه‌ی آسیب‌پذیر در معرض خطر قرار دارند.
سوءاستفاده از این آسیب‌پذیری به مهاجم این امکان را می‌دهد که داده‌های حساس قربانی را رمزگشایی کند، کد مخرب به نرم‌افزار امضاء شده‌ی دیجیتالی تزریق کند و حفاظت‌هایی که مانع دسترسی یا سوءاستفاده از کامپیوتر هدف می‌شوند را دور بزند.
****حمله‌ی ROCA میلیاردها دستگاه را در معرض خطر قرار می‌دهد
حمله‌ی ROCA بر روی تراشه‌های تولید‌شده از اوایل سال 2012 توسط اینفینئون و برای تمامی طول‌های کلیدی از جمله 1024 و 2048 بیت که معمولاً در کارت‌های شناسایی ملی، مادربردهای PC برای ذخیره‌ی امن رمزهای عبور، در توکن‌های احراز اصالت، در طول مرور امن وب و برای حفاظت از پیام مانند PGP استفاده شده است، تاثیر می‌گذارد.
این آسیب‌پذیری امنیت کامپیوتر‌های دولتی و سازمانی محافظت‌شده با استفاده از تراشه‌ها و کتابخانه‌ی رمزنگاری اینفینئون را نیز تضعیف می‌کند.
اکثر دستگاه‌های ویندوزی و ChromeBook گوگل که توسط HP، Lenovo و Fujitso توسعه‌یافته‌اند، تحت تاثیر حمله‌ی ROCA قرار دارند.
تعداد کل کلید‌های آسیب‌پذیر تایید‌شده تاکنون حدود 760000 است اما احتمالاً این تعداد دو تا سه برابر این مقدار است.
این آسیب‌پذیری در فوریه‌ی سال جاری به شرکت تکنولوژی‌های اینفینئون گزارش داده شد و محققان یافته‌های کامل خود را در تاریخ 2 نوامبر در کنفرانس ACM در بخش امنیت ارتباطات و کامپیوتر ارائه دادند. بنابراین شرکت سازنده زمان کافی برای تغییر کلید‌های رمزنگاری آسیب‌پذیر قبل از اینکه جزئیات نحوه‌ی کار آسیب‌پذیری و نحوه‌ی بهره‌برداری از آن منتشر شود، داشتند.
اکثر فروشندگان از جمله اینفینئون، مایکروسافت، گوگل، HP، لنوو و فوجیتسو به‌روزرسانی‌های نرم‌افزاری‌ای را برای سخت‌افزار‌ها و نرم‌افزار‌های مرتبط و همچنین دستورالعمل‌هایی را برای کاهش آسیب‌پذیری منتشر کرده‌اند.
گزارش خطا
آخرین اخبار