Sicherheitslücke: Yubico-Sicherheitsschlüssel anfällig für Cloning

Forscher von NinjaLabs haben eine Sicherheitslücke entdeckt, die es erlaubt, bestimmte Hardwareschlüssel von Yubico zu klonen. Betroffen sind vor allem Schlüssel der Serie YubiKey 5 mit Softwareversion vor 5.7.

Der Fehler steckt im in einem Sicherheitschip von Infineon mit der Typenbezeichnung SLE78. Er erlaubt einen Seitenkanal-Angriff. Allerdings wird dafür ein physischer Zugriff auf den Hardwareschlüssel benötigt – sowie Geräte im Wert von rund 11.000 Dollar. Unter anderem ist es erforderlich, den Hardwareschlüssel zu öffnen, was ein unbemerktes Klonen erschwert. Um schließlich mit einen geklonten Hardwareschlüssel die Kontrolle über Nutzerkonten übernehmen zu können, muss ein Angreifer auch die Nutzernamen und Kennwörter kennen.

In einer Sicherheitswarnung listet Yubico alle betroffenen Schlüssel: YubiKey 5 Serie, YubiKey 5 FIPS Serie, YubiKey 5 CSPN Serie und Security Key Serie, jeweils mit Softwareversion vor 5.7, sowie YubiKey Bio Serie mit Softwareversion vor 5.7.2. Darüber hinaus sind die Schlüssel YubiHSM 2 und YubiHSM 2 FIPS mit Softwareversion vor 2.4.0 angreifbar. Nach Angaben des Herstellers wurde die Firmware-Version 5.7 im Mai veröffentlicht, sodass alle zuvor gekauften Schlüssel als angreifbar eingestuft werden müssen.

Welche Softwareversion auf einem Hardwareschlüssel von Yubico installiert ist, lässt sich mit der App Yubico Authenticator prüfen, die für Windows, macOS, Linux, Android und iOS verfügbar ist. Allerdings ist es nicht möglich, die Software betroffener Schlüssel zu aktualisieren – aus Sicherheitsgründen ist eine Update-Funktion nicht verfügbar. Nutzer, die YubiKey-Schlüssel in kritischen Bereichen wie Behörden, Finanzinstituten oder Gesundheitseinrichtungen einsetzen, sollten angreifbare Schlüssel austauschen.