Tags:
Node Thumbnail

ทุกวันนี้ระบบ "กุญแจ" เข้ารหัสที่ใช้ USB หรือสมาร์ตการ์ดแบบเข้ารหัสนั้นมักใช้ PKCS#11 ที่ภายในการเปิด API ให้สามารถ "เซ็น" หรือเข้ารหัสจากกุญแจลับ (Private Key) ภายในตัวบัตรเพื่อยืนยันตัวบุคคลได้ โดยไม่เปิดเผยกุญแจลับนั้นออกมา ก่อนหน้านี้มีงานวิจัยว่ากระบวนการนี้มีช่องโหว่ทำให้สามารถหากุญแจลับภายในออกมาได้ หากแฮ็กเกอร์ส่งค่าเข้าไปเข้ารหัสโดยเฉลี่ย 215,000 ครั้ง อย่างไรก็ดีตัวเลขนั้นยังแสดงว่าบัตรยังทนต่อการแฮกได้เป็นเวลาค่อนข้างนาน แต่งานวิจัยล่าสุดที่งาน CRYPTO 2012 ทีมวิจัยจากฝรั่งเศสแสดงให้เห็นว่าแฮกเกอร์สามารถหาค่ากุญแจลับได้ภายในการส่งคำสั่งเข้ารหัสเพียงเฉลี่ย 9,400 ครั้งเท่านั้น ทำให้สามารถกุญแจลับออกจากอุปกรณ์รักษาความปลอดภัยได้หลายตัวในเวลาต่ำสุดเพียง 13 นาที

รายชื่ออุปกรณ์ที่ทีมงานใช้ทดสอบได้แก่ Aladdin eTokenPro (21 นาที), Gemalto Cyberflex (92 นาที), RSA SecurID 800 (13 นาที), Safenet Ikey 2032 (88 นาที), และ Siemens CardOS (21 นาที)

กระบวนวิธีนี้สามารถใช้ได้กับการ์ดที่ใช้มาตรฐาน PKCS#11 เวอร์ชั่น 1.5 ทั้งหมด ดังนั้นสามาร์ตการ์ดยืนยันตัวบุคคลที่ใช้ในองค์กรหลายต่อหลายรุ่นก็อาจจะตกอยู่ในความเสี่ยงด้วยเหมือนกัน

ทีมวิจัยระบุว่ามาตรฐานรุ่น 2.3 ที่ยังไม่ประกาศใช้นั้นเริ่มแก้ไปปัญหาไปบางส่วนแล้ว แต่ยังมีประเด็นอื่นๆ ที่อาจจะถูกโจมตีได้อีกเช่นกัน ที่สำคัญคือบัตรจำนวนมากที่อยู่ในตลาดอาจจะต้องการความเข้ากันได้กับ API เดิมทำให้ไม่สามารถอัพเกรดได้ทันที

ทีมงานได้ติดต่อผู้ผลิตจำนวนมากก่อนที่จะตีพิมพ์รายงานฉบับนี้เพื่อแจ้งความเสี่ยงที่กำลังเกิดขึ้น ผู้ผลิตหลายรายเริ่มแนะนำให้ลูกค้าอัพเกรดไปใช้ PKCS#11 เวอร์ชั่น 2.1 บางรายระบุว่าจะจำกัดการเรียกฟังก์ชั่นบางตัวเพื่อทำให้การโจมตีทำได้ช้าลง รายที่แย่ที่สุดคือ ศูนย์ออกใบรับรองของเอสโตเนียที่ไม่มีกระบวนการรองรับใดๆ เลย

ที่มา - ArsTechnica

Get latest news from Blognone

Comments

By: jane
AndroidUbuntu
on 26 June 2012 - 02:39 #436906
jane's picture

smart card ของ Truevision นี้เป็นแบบไหนนะ

By: Go-Kung
iPhoneWindows PhoneAndroidBlackberry
on 26 June 2012 - 08:42 #436937 Reply to:436906

น่าจะใช่ครับ

ส่วนใหญ่ก็ RSA ทั้งนั้น (จริงๆตัวอื่นก็มีให้เลือกใช้ครับอย่าง AES, 3DES)

By: pitsanu
Contributor
on 26 June 2012 - 09:59 #436969

"ทำให้สามารถกุญแจลับออกจากอุปกรณ์รักษาความปลอดภัย"

ทำให้สามารถ "แกะ/ถอดรหัส" กุญแจลับออกจากอุปกรณ์รักษาความปลอดภัย รึเปล่า?

By: hisoft
ContributorWindows PhoneWindows
on 26 June 2012 - 10:04 #436974
hisoft's picture
  • ดังนั้นสามาร์ตการ์ด

Samart สามารถครับ :p

แต่ความเร็วในการถอดรหัส RSA SecurID นี่ช่าง - -" หรือว่าของเค้าดีจริง เร็วจริง เลยหลุดไวจริง

By: zendz
iPhone
on 26 June 2012 - 10:11 #436985
zendz's picture

ที่มีปัญหามันมีปัญหาเฉพาะส่วนของ API Cryptoki ตัวเก่า อีกอย่าง PKCS#11 ไม่ใช่ทั้งหมดของ RSA crypto ซักหน่อยนี่ อย่าเพิ่งไปตื่นตูม

ปล. แต่มันน่าเศร้าตรงที่ RSA Token ดันใช้ version เก่าอยู่อีก

By: music7up
iPhoneAndroid
on 26 June 2012 - 11:26 #437063
music7up's picture

"คำสั่งเข้ารหัสเพียงเฉลี่ย 9,400 ครั้งเท่านั้น"
ด้านบนอ่านแล้วงง จริงๆแล้วเป็นแบบด้านล่างนี้หรือเปล่าครับ
"คำสั่งเข้ารหัสเฉลี่ยเพียง 9,400 ครั้งเท่านั้น"