• IT-Karriere:
  • Services:

Zwei-Faktor-Authentifizierung: Strahlung verrät Schlüssel von Googles Titan-Token

Der privaten Schlüssel eines Hardware-Sicherheitstokens von Google lässt sich anhand der Strahlung rekonstruieren.

Artikel veröffentlicht am ,
Verräterische Strahlung: Ein Seitenkanalangriff ermöglicht das Extrahieren von privaten ECDSA-Schlüsseln.
Verräterische Strahlung: Ein Seitenkanalangriff ermöglicht das Extrahieren von privaten ECDSA-Schlüsseln. (Bild: Martin Wolf/Golem.de)

Die Strahlung, die von den Titan-Authentifizierungstokens von Google ausgeht, ermöglicht es, den im Gerät gespeicherten privaten Schlüssel zu extrahieren. Das zeigte ein Forscherteam der Firma Ninjalabs. Betroffen sind zudem weitere Geräte wie der Yubikey Neo, sie alle nutzen einen Chip und eine Softwarebibliothek der Firma NXP.

Stellenmarkt
  1. Deutsche Gesellschaft für Internationale Zusammenarbeit (GIZ) GmbH, Bagdad
  2. Stadt Hildesheim, Hildesheim

Authentifizierungstokens wie der Google Titan nutzen das U2F-Protokoll, um eine Hardware-Zwei-Faktor-Authentifizierung zu implementieren. Dabei kommt für digitale Signaturen der ECDSA-Algorithmus zum Einsatz. Das Ziel solcher Hardware-Tokens ist es, dass es möglichst schwer sein sollte, den zugehörigen privaten Schlüssel zu extrahieren. Eine besondere Herausforderung ist es dabei, Seitenkanalangriffe, die etwa die Stromversorgung, Geräusche, Strahlung oder Ähnliches analysieren, zu erschweren.

6.000 Messungen der Strahlung verraten ECDSA-Key

Der von Ninjalabs entdeckte Angriff zeigt einmal mehr, wie schwer es ist, Hardware vor Seitenkanalangriffen abzusichern. Die Forscher untersuchten zunächst eine offene Java-Smartcard von NXP, bei der sie davon ausgingen, dass die kryptographische Funktionalität ähnlich implementiert ist. Dort gelang es, mit 4.000 Messvorgängen von Signaturoperationen genügend Daten zu exfiltrieren, um den privaten Schlüssel zu extrahieren. Beim Titan-Key von Google brauchten sie mit derselben Methode 6.000 Messungen.

Die Forscher weisen explizit darauf hin, dass diese Ergebnisse kein Grund dafür sind, die entsprechenden Tokens nicht mehr zu nutzen, das sei in jedem Fall sicherer als der Verzicht auf Zwei-Faktor-Authentifizierung. Für den Angriff muss ein Angreifer für längere Zeit Zugriff auf den Hardware-Token haben und dafür teure Spezialgeräte einsetzen. Vor simplen Phishing-Angriffen etwa schützen die Tokens weiterhin zuverlässig.

Besser sei es allerdings, künftig auf Tokens zu setzen, die für derartige Schwächen weniger anfällig sind. In einem Hintergrundpaper machen die Entdecker auch Vorschläge, wie man den ECDSA-Algorithmus so implementieren kann, dass Seitenkanalangriffe erschwert werden.

Der Angriff wird unter der Kennung CVE-2021-3011 geführt. Ein Firmware-Update ist bei den Titan-Sicherheitstokens nicht vorgesehen. Bei einer früheren Sicherheitslücke in Bluetooth-Tokens hatte Google ein Austauschprogramm angeboten, ob dies hier ebenfalls erfolgt, ist bislang nicht bekannt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Mobile-Angebote
  1. (u. a. Galaxy S21 mit Galaxy Buds Pro In-Ears und Galaxy Smart Tag für 849€)
  2. 189,99€ (Bestpreis)
  3. 279,99€ (Bestpreis)

JouMxyzptlk 10. Jan 2021 / Themenstart

Vielleicht reicht es das Ding aufzumachen, mit einer Schicht Papier und ein paar...

Kommentieren


Folgen Sie uns
       


Watch Dogs Legion - Fazit

Mit Legion liefert Ubisoft das bisher mit Abstand beste Watch Dogs ab.

Watch Dogs Legion - Fazit Video aufrufen
    •  /