Ældre krypteringssoftware er sårbar

Af Torben B. Sørensen, 26/10/17

Forskere har fundet en alvorlig sårbarhed i krypteringssoftware. Udstyr fra blandt andre Fortinet er berørt.

Sikkerhedsforskere har opdaget en sårbarhed i en generator til tilfældige tal. Algoritmen bag generatoren indgik tidligere i FIPS (Federal Information Processing Standards), et sæt it-standarder for offentlige myndigheder i USA.

Sårbarheden findes i ANSI X9.31 Random Number Generator (RNG). Den gør det muligt at knække krypteringen.

Algoritmen var tidligere udbredt i systemer til VPN (virtuelt privat netværk). Blandt de berørte produkter er FortiOS fra Fortinet. Firmaet lukkede hullet for et år siden. Kun FortiOS før version 5 er berørt.

Ældre versioner af Aironet-enheder fra Cisco kan også være sårbare. Andre potentielt sårbare producenter er BeCrypt, Deltacrypt, og flere andre.

ANSI X9.31 blev fjernet fra FIPS-anbefalingerne i januar 2016. Derfor har mange producenter fjernet algoritmen fra deres udstyr.

Forskerne kalder sårbarheden DUHK (Don't Use Hard-coded Keys).

Anbefaling

Brugere af ældre udstyr bør tjekke, om det er sårbart.

Links

Keywords: 
sårbarheder
DUHK (Don't Use Hard-coded Keys)
kryptering