20191006 Sicherheitslücke in Infineon Chips

06.10.2019 Sicherheitslücke in Infineon Chips

Aus dem öffentlichen Schlüssel den Private Key berechnen?

Achtung, dieser Artikel ist leider (oder glücklicherweise) schon 2 Jahre alt. Also Entwarnung: Die Patches sind alle schon da und sicher installiert.

Das geht nicht - würde Jede/r sagen. Leider ermöglicht eine Schwachstelle in Sicherheits-Chips des Herstellers Infineon die Erzeugung unsicherer RSA-Keys. Bei denen ist es möglich, mit einigem Rechenaufwand den privaten Key über den öffentlichen Key herauszufinden. Diese Lücke befindet sich in dem Infineon-Chips ab dem Herstellungsjahr 2012.

Viele Hersteller haben Listen mit betroffenen Produkten sowie teilweise auch Updates veröffentlicht, so verweist Heise z.B. auf HP, Fujitsu, Google, Lenovo, Toshiba und Yubico.

Tchechische Forscher haben auch die estnische Regierung darauf hingewiesen, dass mehr als 750 000 Personalausweise von der Lücke betroffen seien. Microsoft hat für Windows ein nicht näher beschriebenes kumulatives Windows-Sicherheitsupdate KB4043961 bereit gestellt und will im Rahmen des Windows-Patchdays am 10. Oktober darauf reagieren.

Bei allen Softwareupdates bleibt die Lücke im Chip aber bestehen, solange nicht Infineon herstellerspezifische Firmware-Updates liefert. Glücklicherweise ist die "Berechnung" eines Private Keys nicht ganz so einfach und kostet für einen 512-Bit-Key etwa 2 Stunden Rechenleistung, das entspricht etwa 6ct. Allerdings sind es bei einem 1024 Bit Schlüssellänge bereits 40-80 und bei 2048 Bit schon 20-40.000 US $.

Mehr dazu bei https://www.heise.de/security/meldung/Hunderttausende-Infineon-Sicherheits-Chips-weisen-RSA-Schwachstelle-auf-3864691.html
und https://crocs.fi.muni.cz/public/papers/rsa_ccs17