Баг в HSM-устройствах позволяет красть криптоключи
Исследователи из компании Ledger, специализирующейся на разработке аппаратных криптокошельков, сообщили о серьезном баге в некоторых HSM-устройствах. Уязвимое оборудование используется для хранения секретных данных в инфраструктуре крупных облачных сервисов и банковском секторе.
Эксперты не стали называть вендора, но сообщили, что ошибка позволяет внедрить в прошивку устройств бэкдор и похитить конфиденциальную информацию.
HSM-модули представляют собой аппаратные решения для безопасного хранения криптоключей, паролей и других важных сведений. Для защиты чувствительных данных в таких устройствах используются продвинутые алгоритмы шифрования.
Как утверждают ИБ-аналитики, удаленный злоумышленник может вызвать на устройстве переполнение буфера и извлечь из его памяти любую секретную информацию, в том числе криптоключи и учетные данные администратора. Также при помощи еще одного бага исследователям удалось загрузить на устройство модифицированную прошивку, содержащую бэкдор. По словам экспертов, этот зловред останется в системе даже после обновления прошивки.
Исследователи обнаружили баг при помощи манипуляций с SDK* устройства, к которому они имели легитимный доступ. Они развернули внутри прошивки программную оболочку и воспользовались техникой фаззинга**. Однако эксперты подчеркивают, что доступ к SDK не нужен для эксплуатации бага.
Как отмечают представители компании Cryptosense, метод атаки далеко не новый, и есть вероятность, что до исследователей из Ledger его обнаружил кто-то еще. По их мнению, не исключено, что среди HSM-оборудования, задействованного в критической инфраструктуре, могут оказаться устройства, содержащие бэкдор.
Примечание редакции портала iEcp.ru:
* SDK (от англ. software development kit) — набор средств разработки, который позволяет специалистам по программному обеспечению создавать приложения для определённого пакета программ, программного обеспечения базовых средств разработки, аппаратной платформы, компьютерной системы, игровых консолей, операционных систем и прочих платформ (Википедия).
** Фаззинг - методика тестирования программного продукта, предполагающая передачу приложению заведомо некорректных данных и наблюдение за его реакцией на такие действие. При помощи фаззинга выявляются проблемы с использованием памяти и определяются слабые места защиты компьютерных систем (портал https://encyclopedia.kaspersky.ru).
Источник: Threatpost
Читайте также:
Самые атакуемые IoT-устройства, установленные в домашних сетях
Подключенные к Сети камеры наблюдения составляют почти половину скомпрометированных киберпреступниками IoT-устройств, заявили в компании SAM Seamless Network, занимающейся кибербезопасностью.
Как работать с безграмотными в вопросах ИБ пользователями. Делимся лайфхаками на Коде ИБ в Алматы
Ключевой темой, прошедшей 4 июня конференции Код ИБ в Алматы, стало повышение культуры кибербезопасности. Чей уровень культуры нуждается в повышении и какими методами обсудили эксперты во время пленарной дискуссии.