Af Torben B. Sørensen, 11/10/16
Artiklen blev oprindeligt publiceret den 27/6/2012
Forskere har offentliggjort et angreb, der udnytter en sårbarhed i en af RSA's SecurID-nøgler. Men angrebet er uden praktisk betydning og giver ikke adgang til den private nøgle i enheden.Nogle medier har rapporteret, at angrebet betyder, at forskerne har knækket sikkerheden og fået adgang til krypteringsnøgler. Men Sam Curry fra RSA afviser det i et blogindlæg.
Angrebet udnytter en velkendt sårbarhed i standarden PKCS #1 v1.5. RSA's SecurID 800 er en kombineret enhed, der både har et engangspassword og et indbygget smartcard. Sårbarheden giver adgang til data, der sendes til smartcardet, hvis angriberen har adgang til både kortet og pinkoden.
Sam Curry skriver, at hvis angriberen har kortet og pinkoden, har han ikke brug for mere. Så angrebet er uden praktisk betydning.
Angrebet har ingen forbindelse til engangspasswordet på enheden.
Anbefaling
Brugere af smartcardfunktionerne i SecurID 800 bør anvende PKCS #1 v2.0 med OAEP i stedet for PKCS #1 v1.5.