Nuovo problema di sicurezza per RSA: già finita sulla graticola per il fattaccio dei server compromessi avvenuto lo scorso anno, la società statunitense deve ora fare i conti con uno studio che descrive un exploit capace di invalidare lo “scudo” che protegge le chiavi crittografiche registrate sui token di sicurezza SecurID 800.
La presentazione ufficiale dello studio del “Team Prosecco”, che conta fra le sue fila ricercatori italiani, è prevista in occasione della conferenza CRYPTO 2012 che si terrà ad agosto. L’exploit descritto prende di mira un prodotto che RSA vende al mercato come soluzione ideale per garantire la sicurezza delle comunicazioni elettroniche in ambienti “sensibili” quali aziende, governi e quant’altro.
L’attacco è di tipo “side-channel”, vale a dire che lavora “ai fianchi” il sistema di protezione del dongle SecurID 800 finché questo non restituisce la chiave crittografica (algoritmo RSA) in chiaro : l’ottimizzazione degli algoritmi già noti fa sì che non occorrano più di 13 minuti di analisi per estrarre la succitata cripto-chiave.
Al momento pare che solo SecurID 800 sia vulnerabile all’exploit, anche se – almeno in questo caso – RSA non è l’unica a dover fronteggiare il problema: i prodotti chiamati in causa dallo studio comprendono Aladdin eTokenPro e iKey 2032 (SafeNet), CyberFlex (Gemalto) e CardOS di Siemens.
Alfonso Maruccia
Ti potrebbe interessare
26 giu 2012