Vulnerabilità Crittografiche in Chip di Sicurezza “Infineon Technologies AG”

Con la presente Yoroi desidera informarLa riguardo alla recente scoperta una grave falla di sicurezza all’interno di particolari librerie crittografiche prodotte da Infineon Technologies AG. Queste librerie sono utilizzate all’interno di chip di sicurezza impiegati per l’implementazione di soluzioni di tecnologie come smart-card, token di autenticazione e Trusted Platform Module (TPM). La criticità è stata registrata con l’identificativo CVE-2017-15361 ed è nota con l’alias “ROCA”.

Figura 1. Schema esemplificativo dei domini di applicazione della libreria crittografica vulnerabile (Source:CRoCS)

Alcuni ricercatori del centro di ricerca CRoCS (Centre for Research on Cryptography and Security) della Masaryk University hanno identificato gravi problematiche presenti durante le fasi di generazione delle chiavi crittografiche RSA all’interno di librerie crittografiche in uso all’interno di vari chip di sicurezza dell’azienda tedesca “Infineon Technologies AG”: tali criticità sono in grado di inficiare la qualità delle chiavi generate dai chip, rendendo così possibile ad un attaccante di ottenere chiavi private legate ai dispositivi vulnerabili avendo conoscenza della sola chiave pubblica associata.

I risultati ottenuti dai ricercatori mostrano la fattibilità dell’attacco per chiavi di lunghezze comprese tra 512 e 704 bit, 992 e 1216 bit, 1984 e 2144 bit, riportando inoltre una stima del costo dell’attacco a chiavi RSA vulnerabili di complessità 1024 bit sotto la soglia dei 100 dollari.

Il Produttore ha confermato la problematica indicando la disponibilità di aggiornamenti per hardware e software di terze parti afflitto dalla vulnerabilità, ad esempio:

• HP - https://support.hp.com/us-en/document/c05792935
• Fujitsu - http://www.fujitsu.com/global/support/products/software/security/products-f/ifsa-201701e.html
• Lenovo - https://support.lenovo.com/it/en/product_security/len-15552
• WinMagic - [email protected]
• Chromium - https://sites.google.com/a/chromium.org/dev/chromium-os/tpm_firmware_update
• Microsoft - https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV170012

Le informazioni ad oggi disponibili indicano che la falla di sicurezza è presente all’interno di chip prodotti dal 2012. Qualora la Vostra Organizzazione utilizzasse tecnologie di crittografia legate all’azienda Produttrice (smart-card, token, chip TPM), Yoroi invita a verificare lo stato della problematica all’interno delle Vostre infrastrutture attraverso l’ausilio degli appositi strumenti di verifica, di applicare gli aggiornamenti di sicurezza disponibili e rigenerare le chiavi vulnerabili.

Yoroi consiglia di mantenere alto il livello di guardia all’interno della vostra organizzazione, monitorare potenziali rischi di sicurezza, mantenere signature e sandbox aggiornate e verificare periodicamente la sicurezza degli apparati di rete. Yoroi consiglia infine di mantenere alto il livello di consapevolezza degli utenti, avvisandoli periodicamente delle minacce in corso e di utilizzare un team di esperti per salvaguardare la sicurezza del perimetro "cyber".
Per avere un indice di minaccia in tempo reale si consiglia di visitare il seguente link: Yoroi Cyber Security Index