Grupo revela ser capaz de extrair chaves criptografadas de dispositivos de segurança em apenas alguns minutos

(Fonte da imagem: Reprodução/Security News Daily)

Você já imaginou a quantidade de informação confidencial que grandes empresas têm em seus computadores? É exatamente para evitar que esse conteúdo sigiloso vaze que algumas companhias investem em dispositivos de segurança, como os tokens USB que criam chaves criptografadas para evitar que dados importantes sejam publicados onde não devem. Contudo, o que acontece quando um grupo de pesquisadores anuncia ser capaz quebrar qualquer tipo de bloqueio?

Estudiosos europeus afirmaram terem criado uma forma de burlar esses dispositivos de segurança a partir de uma função existente para que ele revele essas chaves em apenas alguns minutos. Segundo eles, bastam apenas 13 minutos para que seja possível quebrar qualquer tipo de certificado digital existente no RSA SecurID 800, um dos modelos de token USB mais populares do mercado.

O grupo, no entanto, afirmou que a descoberta não será usada para o roubo de informações, mas apenas para mostrar que esses equipamentos estão tão vulneráveis quanto qualquer outro arquivo em um computador. Além disso, eles entraram em contato com as fabricantes desses aparelhos para informar da falha e praticamente todas prometem melhorar a segurança para que ninguém mal-intencionado consiga usar a descoberta para lesar outras pessoas.

A RSA se defende

Em uma nota publicada em seu site oficial, a RSA, fabricante de um dos tokens USB testados, questionou a utilidade da pesquisa. Por mais que ela confirme que seja possível ao atacante ter acesso às chaves criptográficas, isso não quer dizer alguém será capaz de extrair a chave privada.

A empresa também alega que o estudo comprova uma falha no protocolo de segurança do SecurID 800, porém isso não quer dizer que ninguém mais está seguro. Segundo a companhia, é preciso que o invasor tenha acesso ao smartcard e ao código PIN para isso. Contudo, com esses dois elementos em mãos, não há razão para realizar um ataque.

Fonte: The Verge, RSA