YubiKey 5 的重大安全漏洞：你需要知道的事
YubiKey 5 是一款流行的用于双因素认证（2FA）的安全密钥，最近发现的一个新缺陷引起了人们对旧型号安全性的担忧。这个与硬件漏洞相关的缺陷，如果密钥落入不法分子手中，会给用户带来重大风险。尽管情况严重，但利用这个缺陷需要专业知识和设备，主要对政府机构和企业等高价值目标构成威胁。尽管如此，它强调了保持安全设备更新到最新固件版本以降低风险的重要性。
了解漏洞
这个漏洞源于 YubiKey 5 内部加密计算中的时间差异，特别是运行 5.7 之前固件版本的型号。这个问题与英飞凌微控制器有关，这些微控制器不仅用于 YubiKey，还用于其他安全硬件，包括智能卡和电子护照。攻击者如果能够物理访问密钥，可能会利用这个缺陷克隆安全密钥。通过精确测量密钥的计算过程，他们可以推断出敏感信息，如加密密钥，从而可能导致潜在的利用。
Yubico 是 YubiKey 的制造商，已经承认了这个缺陷并发布了固件更新来解决它。然而，这个缺陷无法在运行 5.7 之前固件的旧设备上打补丁。因此，建议使用旧版 YubiKey 5 型号的用户更新设备或更换为不受此缺陷影响的新版本。
谁有风险？
利用这个漏洞并不简单，它需要：
- 物理访问：攻击者必须直接物理访问安全密钥。
- 高级设备：利用缺陷涉及精确测量和先进技术，使得普通攻击者难以实施。
- 针对性攻击：攻击者需要特定知识，了解与密钥相关的账户和服务，主要风险集中在高知名度个人或组织。
虽然个人用户面临的风险较小，但这个漏洞对企业和政府机构等高价值目标构成更大威胁。对于这些实体，潜在攻击的成本可能是灾难性的，因此必须及时解决这个问题。
行业反应和影响
这个漏洞的发现引发了安全行业关于改进加密实践的讨论。目前，包括 YubiKey 在内的许多安全设备依赖于第三方加密库，如英飞凌的库。这个案例中暴露的漏洞促使专家倡导转向定制加密解决方案，减少对外部库的依赖，提高整体安全性。
此外，这一事件可能导致对认证设备实施更严格的安全指南，推动组织采用更强大的多因素认证实践。依赖硬件安全密钥进行关键认证过程的企业应考虑升级设备并审查其安全协议，以降低长期风险。
YubiKey 用户应该怎么做？
对于 YubiKey 5 的用户，确保设备安全至关重要：
- 更新固件：如果你的 YubiKey 5 运行的是 5.7 之前的固件版本，请立即更新到最新版本。这是减轻漏洞的最简单方法。
- 更换旧设备：由于硬件无法打补丁，应将旧版 YubiKey 型号更换为已修复此问题的新版本。
- 考虑替代安全方法：如果更新或更换设备不可行，考虑使用其他形式的多因素认证来保护你的账户。
通过采取这些措施，用户可以最小化 YubiKey 被攻破的风险，并确保持续保护其数字资产。
结论
最近 YubiKey 5 的重大漏洞的发现强调了在数字安全领域保持警惕的重要性。虽然这个缺陷难以利用且主要影响高价值目标，但它提醒我们，即使是受信任的安全设备也不是无懈可击的。定期更新固件、更换过时设备和实施强大的安全协议是维护日益复杂网络环境中数字安全的关键。
关键要点
- YubiKey 5 型号易受加密侧通道攻击克隆。
- 所有 YubiKey 5 系列型号均受影响。
- 无法对易受攻击的密钥打补丁，使其永久易受攻击。
- 需要专用设备的物理密集型攻击。
- 漏洞扩展到英飞凌微控制器，影响多种安全设备。
分析
YubiKey 5 的漏洞使用户面临通过加密侧通道攻击克隆的风险，影响所有 5.7 之前固件的型号。这个缺陷源于英飞凌微控制器，也影响智能卡和电子护照，突显了更广泛的安全问题。Yubico 的承认和攻击条件的特殊性减轻了立即广泛风险，但缺陷的不可修补性要求用户保持警惕。短期内，用户必须更新或更换受影响的密钥；长期来看，这强调了硬件安全测试和设计的必要性。
你知道吗？
- 加密侧通道攻击：
- 加密侧通道攻击是一种安全漏洞，旨在通过分析加密系统的物理实现而不是通过暴力破解加密或利用算法理论弱点来揭示加密秘密（如加密密钥）。这可以包括分析时间信息、功耗、电磁泄露甚至声音——任何这些都可以提供额外的信息，这些信息不是有意可访问的。在 YubiKey 5 的情况下，攻击涉及测量加密操作的时间以推断秘密密钥。
- 固件：
- 固件是一种软件，提供工程产品和系统的控制、监控和数据操作。包含固件的设备示例包括计算机、家用电器、手机和计算机外围设备，如 YubiKey。固件通常存储在硬件设备的闪存 ROM 中，比软件更稳定，因为它不经常更新。然而，在 YubiKey 5 漏洞的情况下，固件更新对于维护安全性至关重要，因为旧版本包含一个无法在设备制造后打补丁的严重缺陷。
- 英飞凌微控制器：
- 英飞凌微控制器是设计用于执行电子设备操作的集成电路。德国半导体制造商英飞凌科技公司生产用于各种应用的广泛微控制器，包括汽车、工业和安全设备。YubiKey 5 中的漏洞与英飞凌制造的特定微控制器有关，这些微控制器也用于其他安全相关设备，如智能卡和电子护照。这突显了当在多个行业和产品中使用的组件中发现漏洞时，潜在的广泛影响。