Des YubiKeys menacées : découverte d’une vulnérabilité de clonage !

La YubiKey 5, le jeton matériel le plus utilisé pour l’authentification à deux facteurs selon la norme FIDO, présente une faille cryptographique qui rend ce dispositif de la taille d’un doigt vulnérable au clonage lorsqu’un attaquant a un accès physique temporaire, ont déclaré des chercheurs mardi.

La faille cryptographique, connue sous le nom de canal latéral, réside dans un petit microcontrôleur utilisé dans un grand nombre d’autres dispositifs d’authentification, notamment les cartes à puce utilisées dans le secteur bancaire, les passeports électroniques et l’accès à des zones sécurisées. Bien que les chercheurs aient confirmé que tous les modèles de la série YubiKey 5 peuvent être clonés, ils n’ont pas testé d’autres dispositifs utilisant le microcontrôleur, qui est le SLE78 fabriqué par Infineon, ainsi que les microcontrôleurs suivants connus sous le nom d’Infineon Optiga Trust M et d’Infineon Optiga TPM. Les chercheurs soupçonnent que tout dispositif utilisant l’un de ces trois microcontrôleurs et la bibliothèque cryptographique d’Infineon présente la même vulnérabilité.

Impossible de patcher

Le fabricant de YubiKey, Yubico, a publié un avis en coordination avec un rapport de divulgation détaillé de NinjaLab, la société de sécurité qui a procédé à l’ingénierie inverse de la série YubiKey 5 et a élaboré l’attaque par clonage. Toutes les YubiKeys fonctionnant avec un firmware antérieur à la version 5.7, qui a été publiée en mai et remplace la cryptolibrairie d’Infineon par une version personnalisée, sont vulnérables. La mise à jour du firmware des clés sur la YubiKey n’est pas possible. Cela laisse toutes les YubiKeys affectées en position de vulnérabilité permanente.

« Un attaquant pourrait exploiter ce problème dans le cadre d’une attaque sophistiquée et ciblée pour récupérer des clés privées affectées », confirme l’avis. « L’attaquant aurait besoin de la possession physique de la YubiKey, de la Security Key ou du YubiHSM, de connaître les comptes qu’il souhaite cibler et d’un équipement spécialisé pour réaliser l’attaque nécessaire. Selon le cas d’utilisation, l’attaquant pourrait également nécessiter des connaissances supplémentaires, y compris le nom d’utilisateur, le PIN, le mot de passe du compte ou la clé d’authentification. »

Les canaux latéraux résultent d’indices laissés dans des manifestations physiques telles que les émanations électromagnétiques, les caches de données ou le temps requis pour accomplir une tâche qui divulgue des secrets cryptographiques. Dans ce cas, le canal latéral se manifeste par le temps nécessaire lors d’un calcul mathématique connu sous le nom d’inversion modulaire. La cryptolibrairie d’Infineon n’a pas réussi à mettre en œuvre une défense contre les canaux latéraux connue sous le nom de temps constant, puisqu’elle effectue des opérations d’inversion modulaire impliquant l’Algorithme de Signature Numérique Elliptique (ECDSA). Le temps constant garantit que l’exécution des opérations cryptographiques sensibles au temps est uniforme plutôt que variable, selon les clés spécifiques.

Plus précisément, le canal latéral se situe dans l’implémentation par Infineon de l’Algorithme d’Euclide Étendu, une méthode pour, entre autres, calculer l’inverse modulaire. En utilisant un oscilloscope pour mesurer le rayonnement électromagnétique pendant l’authentification du jeton, les chercheurs peuvent détecter de minuscules différences de temps d’exécution qui révèlent la clé ECDSA éphémère du jeton, également connue sous le nom de nonce. Une analyse plus approfondie permet aux chercheurs d’extraire la clé ECDSA secrète qui sous-tend la sécurité entière du jeton.

Dans le rapport de mardi, le cofondateur de NinjaLab, Thomas Roche, a écrit :

Dans le cadre de ce travail, NinjaLab dévoile une nouvelle vulnérabilité côté canal dans l’implémentation ECDSA d’Infineon 9 sur toute famille de microcontrôleurs de sécurité du fabricant. Cette vulnérabilité repose sur l’inversion modulaire de la clé éphémère ECDSA (ou nonce), et, plus précisément, sur l’implémentation par Infineon de l’Algorithme d’Euclide Étendu (EEA pour faire court). À notre connaissance, c’est la première fois qu’une implémentation de l’EEA est montrée comme vulnérable à l’analyse par canal latéral (contrairement à la version binaire de l’EEA). L’exploitation de cette vulnérabilité est démontrée par des expériences réalistes et nous montrons qu’un adversaire n’a besoin d’accéder à l’appareil que pendant quelques minutes. La phase hors ligne nous a pris environ 24 heures ; avec plus de travaux d’ingénierie dans le développement de l’attaque, cela prendrait moins d’une heure.

Après une longue phase de compréhension de l’implémentation d’Infineon à travers l’analyse des canaux latéraux sur une carte Java ouvrable Feitian 10, l’attaque a été testée sur une YubiKey 5Ci, un jeton matériel FIDO de Yubico. Toutes les YubiKey 5 Series (avant la mise à jour du firmware 5.7 du 6 mai 2024) sont affectées par l’attaque. En fait, tous les produits s’appuyant sur l’ECDSA de la bibliothèque cryptographique d’Infineon fonctionnant sur un microcontrôleur de sécurité Infineon sont affectés par l’attaque. Nous estimons que la vulnérabilité existe depuis plus de 14 ans dans les puces sécurisées de pointe d’Infineon. Ces puces et la partie vulnérable de la bibliothèque cryptographique ont subi environ 80 évaluations de certification CC de niveau AVA VAN 4 (pour les TPM) ou AVA VAN 5 (pour les autres) de 2010 à 2024 (et un peu moins de 30 maintenances de certificat).