Onderzoekers 'kraken' RSA-algoritme
Onderzoekers hebben een probleem met het RSA-algoritme ontdekt, waardoor aanvallers toegang tot vertrouwelijke gegevens en apparaten kunnen krijgen. RSA wordt ingezet voor het beveiligen van mediaspelers, laptops, smartphones, servers en apparaten. Die beveiliging is te omzeilen door de elektrische spanning aan te passen van het apparaat waar de private key is opgeslagen. Volgens de onderzoekers is het onwaarschijnlijk dat hackers de aanval op grote instellingen zullen gebruiken, maar voor telecomfabrikanten en mediabedrijven is het wel slecht nieuws. Het onderzoek wordt tijdens de komende Design, Automation and Test in Europe (DATE) conferentie op 10 maart gepresenteerd.
"Het RSA-algoritme geeft zekerheid in de veronderstelling dat zolang de private sleutel privé is, je niet kunt inbreken, tenzij je hem raadt. We hebben laten zien dat dit niet zo is", aldus Valeria Bertacco, universitair hoofddocent bij het Departement van Elektrotechniek en Informatica. De private sleutels bevatten meer dan 1.000 cijfers aan binaire code. Voor het raden van zo'n getal is langer dan de leeftijd van het heelal nodig, aldus promovendus Andrea Pellegrini. Door het aanpassen van het voltage konden de onderzoekers de sleutel in ongeveer 100 uur achterhalen.
Manipulatie
Met goedkope apparaatjes werd de stroom gemanipuleerd. Dit veroorzaakte foutjes in de communicatie tussen de computer en andere clients. Deze fouten leverden een klein stukje van de private key op. Door het veroorzaken van voldoende fouten wisten de onderzoekers uiteindelijk de sleutel te reconstrueren. De aanval is niet zichtbaar en veroorzaakt geen beschadigingen aan het systeem.
"RSA authenticatie is populair omdat we dachten dat het zo veilig was", zegt professor Todd Austin. Hij merkt op dat het onderzoek laat zien dat RSA veel minder beveiliging biedt dan werd aangenomen. Volgens de professoren is de oplossing eenvoudig, namelijk het toepassen van salting. Dit zorgt ervoor dat de volgorde van de bits elke keer bij het opvragen van de sleutel anders is. Austin heeft in ieder geval voldoende vertrouwen in het algoritme. "RSA is een goed algoritme en ik denk dat het dit soort aanvallen uiteindelijk zal overleven."
Update: tekst aangepast
Beetje vreemde conclusie. Volgens mij laten ze zien dat bij een smart card de private key niet altijd private is.
"RSA authentication is so popular because it was thought to be so secure,"
Dat is het nog steeds. Misschien niet met de smart card die ze hebben gekraakt maar dat is een implementatiefout. Of mis ik iets?
Idd, het algoritme is openbaar, de veiligheid ligt in de lengte van de sleutels en dat de private key ook werkelijk geheim blijft. Wederom een misleidende kop.
Frans
Dit is een lek in een implementatie, en de aanvalsmethode is beter bekend onder de naam 'fault injection', meer specifiek 'glitching'. Zie http://www.riscure.com/services/training/smart-card-security-training.html
Het valt mij op dat er nogal vaak tendentieuze, en regelmatig keihard foute, koppen en berichten op Security.nl staan. Enige basiskennis over hun vakgebied verwacht ik wel van de journalisten van Security.nl. Lees een boek dat de basis van internet security uitlegt en volg bijvoorbeeld eens de bovengenoemde training.
Bovendien: ik betwijfel het dat de quotes letterlijke vertalingen zijn van het werkelijk gezegde. Als dit soort opmerkingen echt uit de mond van deze hoogleraren komt dan is het triest gesteld op de genoemde universiteiten.
Het Orakel
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
