Баг в HSM-устройствах позволяет красть криптоключи

13 июня 2019
Баг в HSM-устройствах позволяет красть криптоключи

Исследователи из компании Ledger, специализирующейся на разработке аппаратных криптокошельков, сообщили о серьезном баге в некоторых HSM-устройствах. Уязвимое оборудование используется для хранения секретных данных в инфраструктуре крупных облачных сервисов и банковском секторе.

Эксперты не стали называть вендора, но сообщили, что ошибка позволяет внедрить в прошивку устройств бэкдор и похитить конфиденциальную информацию.

HSM-модули представляют собой аппаратные решения для безопасного хранения криптоключей, паролей и других важных сведений. Для защиты чувствительных данных в таких устройствах используются продвинутые алгоритмы шифрования.

Как утверждают ИБ-аналитики, удаленный злоумышленник может вызвать на устройстве переполнение буфера и извлечь из его памяти любую секретную информацию, в том числе криптоключи и учетные данные администратора. Также при помощи еще одного бага исследователям удалось загрузить на устройство модифицированную прошивку, содержащую бэкдор. По словам экспертов, этот зловред останется в системе даже после обновления прошивки.

Исследователи обнаружили баг при помощи манипуляций с SDK* устройства, к которому они имели легитимный доступ. Они развернули внутри прошивки программную оболочку и воспользовались техникой фаззинга**. Однако эксперты подчеркивают, что доступ к SDK не нужен для эксплуатации бага.

Как отмечают представители компании Cryptosense, метод атаки далеко не новый, и есть вероятность, что до исследователей из Ledger его обнаружил кто-то еще. По их мнению, не исключено, что среди HSM-оборудования, задействованного в критической инфраструктуре, могут оказаться устройства, содержащие бэкдор.


Примечание редакции портала iEcp.ru:

* SDK (от англ. software development kit) — набор средств разработки, который позволяет специалистам по программному обеспечению создавать приложения для определённого пакета программ, программного обеспечения базовых средств разработки, аппаратной платформы, компьютерной системы, игровых консолей, операционных систем и прочих платформ (Википедия).

** Фаззинг - методика тестирования программного продукта, предполагающая передачу приложению заведомо некорректных данных и наблюдение за его реакцией на такие действие. При помощи фаззинга выявляются проблемы с использованием памяти и определяются слабые места защиты компьютерных систем (портал https://encyclopedia.kaspersky.ru).

Источник: Threatpost

Читайте также:

11 июня 2019

Как работать с безграмотными в вопросах ИБ пользователями. Делимся лайфхаками на Коде ИБ в Алматы

Ключевой темой, прошедшей 4 июня конференции Код ИБ в Алматы, стало повышение культуры кибербезопасности. Чей уровень культуры нуждается в повышении и какими методами обсудили эксперты во время пленарной дискуссии.