Fabricante disse que ataque descrito 'não é útil'

A RSA, que fabrica os tokens SecurID, publicou uma nota de esclarecimento sobre a pesquisa de especialistas europeus queconsegue extrair informações do dispositivo. De acordo com a empresa, a chave privada – o maior segredo armazenado no dispositivo – não pode ser extraída pela técnica descrita. No entanto, a RSA confirma que chaves criptográficas podem ser extraídas.

"A vulnerabilidade descrita pelos pesquisadores torna possível, embora improvável, que um atacante que tiver acesso ao smartcard do usuário e ao código PIN do smtartcard possa acessar uma chave simétrica ou outros dados enviados ao smartcard", escreveu Sam Curry, diretor de tecnologia da RSA no blog da empresa (acesse aqui).

No texto divulgado pelos pesquisadores, o ataque ao token da RSA leva 13 minutos – foi o token mais rápido para conseguir resultados com base no ataque desenvolvido.

A empresa também afirmou que o problema existe apenas na série SecurID 800 e que outros produtos e funções da linha SecurID, como a gerador de senhas únicas, não são afetados pela pesquisa. O texto, intitulado "Não acredite em tudo que lê", critica a imprensa por fornecer informações incorretas.

"Os pesquisadores fizeram um exercício acadêmico para mostrar uma vulnerabilidade no protocolo, mas um ataque requer acesso ao smartcard [por exemplo, quando inserido em um computador comprometido] e o código PIN do usuário. Se o atacante tem o smartcard e o PIN, não há necessidade para realizar qualquer ataque, então esta pesquisa acrescenta pouco valor como uma descoberta em segurança", informou Curry.

A técnica desenvolvida pelos pesquisadores europeus não é nova, mas aperfeiçoa métodos já conhecidos. O problema afeta diversos fabricantes porque está em uma função no protocolo PKCS#1 v1.5, que é padrão da indústria. Eles esperam que a função vulnerável seja abolida de novos padrões a serem adotados por tokens e smartcards futuramente.