由于漏洞Yubico回忆起政府级别的安全密钥
2019-06-14 15:09:35
•
来源：
导读 由于固件缺陷，Yubico正在召回美国政府使用的一系列安全密钥。该公司今天发布了一份安全公告，警告YubiKey FIPS系列设备中存在固件版本为4
由于固件缺陷，Yubico正在召回美国政府使用的一系列安全密钥。该公司今天发布了一份安全公告，警告YubiKey FIPS系列设备中存在固件版本为4.4.2和4.4.4的问题，这会降低其生成的加密密钥的随机性。该安全密钥用于数以千计的联邦雇员的日常基础上，让他们通过发行一次性密码安全登录到他们的设备。
有问题的问题发生在安全密钥启动后。根据Yubico的说法，一个bug在设备的数据缓冲区内保留了“一些可预测的内容”，这可能会影响生成的密钥的随机性。带有ECDSA签名的安全密钥尤其危险。密钥生成的256位中的80个保持静态，这意味着获得对多个签名的访问权的攻击者可以重新创建私钥。
幸运的是，任何受影响的客户都将收到替换密钥。这不是安全公司第一次发出类似的召回事件。谷歌今年早些时候在发现蓝牙漏洞后召回了一些Titan安全密钥。
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如有侵权行为，请第一时间联系我们修改或删除，多谢。