Názor ke zprávičce Chyba v knihovně Infineon ohrožuje soukromé klíče z tokenů YubiKey a dalších zařízení od Jan Kapčiar - Dobrý den, pokud používáte z tokenu FIDO2 funkcionalitu v...
-
Dobrý den,
pokud používáte z tokenu FIDO2 funkcionalitu v módu bez PINu, obrana je nastavit si PIN.
Pokud využíváte jiné moduly (PIV, OpenPGP) a v nich spoléháte na ECDSA, obrana je přejít na RSA - https://support.yubico.com/hc/en-us/articles/15705749884444-Infineon-ECDSA-Private-Key-Recovery-Customer-Resources
Útok není vůbec triviální (viz ninjalab report), útočník musí mít excelentní znalosti, vybavení a nenávratně poškodí token (zejména v případě Y5NFC a Y5CNFC). Tím situaci nijak nezlehčuji, ale rozhodně to není důvod k zahození tokenu (či dokonce návratu k obyčejným heslům), jak z některých diskuzí vyplývá.
Stačí aplikovat výše navrhované a i tento laboratorní útok bude pro vás rázem irelevantní.
