Tag: yubikey

對 YubiKey 5 的 side-channel attack

在 Hacker News Daily 上看到的「EUCLEAK Side-Channel Attack on the YubiKey 5 Series (ninjalab.io)」，原文在「EUCLEAK」這邊。

對 YubiKey 5 的攻擊，攻擊需要能夠碰到實體的 key，透過 side-channel 取得 ECDSA secret key 進而複製：

The attack requires physical access to the secure element (few local electromagnetic side-channel acquisitions, i.e. few minutes, are enough) in order to extract the ECDSA secret key. In the case of the FIDO protocol, this allows to create a clone of the FIDO device.

新版的 firmware 解掉了這個問題：

The new YubiKey firmware 5.7 update (May 6th, 2024) switches the YubiKeys from Infineon cryptographic library to Yubico new cryptographic library. To our knowledge, this new cryptographic library is not impacted by our work.

但是官方文件上面也有提到 YubiKey 不支援 firmware 升級：「YubiKey Firmware is Not Upgradable」，對於安全性有高要求的人可能要聯絡 Yubico 看能不能換了...

另外手上的 YubiKey 從外觀不太好認，我是用 USB 的 Device ID 認的，發現官方有列出來，在 Linux 下可以用 lsusb 看到，Windows 應該是裝置管理員之類的地方可以看：「YubiKey USB ID Values」。

把 SSH Key 放進 Secure Enclave 裡保護

看到 Secretive 這個專案，是利用蘋果的 Secure Enclave 機制，把 SSH private key 放進去在裡面進行運算，避免 private key 檔案被惡意程式讀取就洩漏出去了。

從 Secure Enclave 的介紹頁面可以看到這個需要有 T1 或是 T2 晶片才有 Secure Enclave 功能：

Mac computers that contain the T1 chip or the Apple T2 Security Chip

而從 Apple Silicon 這邊可以看到 Apple T1 chip 是 2016 年後的機種引入的：

The Apple T1 chip is an ARMv7 SoC (derived from the processor in S2 SiP) from Apple driving the System Management Controller (SMC) and Touch ID sensor of the 2016 and 2017 MacBook Pro with Touch Bar.

然後對於沒有 Secure Enclave 的古董機，可以透過有支援 smart card 的硬體掛上去，像是 YubiKey：

For Macs without Secure Enclaves, you can configure a Smart Card (such as a YubiKey) and use it for signing as well.

照著他講的建議去翻了「YubiKey Smart Card Deployment Guide」這邊的資料，看起來 YubiKey 在 4 系列之後就有產品支援 Smart Card 了，不過要注意純 U2F 的版本沒支援。

AMD 平台的前面板與 USB...

在 Telegram 上看到這篇在講在 AMD 平台上遇到 USB 相容性的問題：

看了敘述與裡面連結提到的「Xperia XA2: Stuck on “Sending 'boot.img'”」與「Fastboot is getting stuck while trying to flash CWM onto Nexus 4」後，我就馬上想到我在換成 AMD 的平台後，遇到了一個感覺好像應該是有關的問題...

我遇到的問題是 YubiKey 在主機的前面板的四個 USB 接口都不會動 (抓的到，但是 browser 需要認證時 YubiKey 不會閃爍請使用者確認)，而接到 USB 2.0 Hub 上面也不會動 (這邊的 Hub 是接到後面 USB 3.0 的孔)，只有直接接到後面板的 USB 3.0 會動，所以我後來就買了一條 USB 3.0 的延長線，從後面的 USB 3.0 孔拉到桌上用...

昨天看到文章，為了確認這個情況，就到 PChome 24h 上找了一顆 USB 3.0 Hub，今天收到後接上 PC 測試，發現 YubiKey 就順利在登入時閃爍了，看起來之後在 AMD 平台上接 USB 的時候要注意一下，有狀況的時候要多測幾種不同的接法...

iOS 上的 Yubikey

在「Yubico iOS Authentication Expands to Include NFC」這邊看到 iOS 13 上對於 NFC 類的 MFA 會有的進展。

主要是因為之前的 NFC 只有讀取能力，所以 U2F/FIDO2/WebAuthn 之類的應用沒有辦法套用上去：

Previously, NFC on iOS was read-only, which meant that it couldn’t support modern authentication protocols like FIDO U2F, FIDO2/WebAuthn that require both read and write capabilities – but now that has changed.

iOS 13 後開放了 API 可以讀寫，所以有辦法支援這些協定了：

With these recent updates, iPhone users (running iOS 13+) can experience mobile NFC authentication with a YubiKey 5 NFC or Security Key NFC by Yubico on apps and browsers that have added support.

對於主力放在 Apple Ecosystem 的人，總算是等到了...