- Что такое YubiKey
- Уязвимость YubiKey в безопасности
- Выводы и рекомендации
Один из способов обеспечить безопасность ваших крипто активов — использовать YubiKey. Однако недавно была обнаружена уязвимость, с которой пользователи, приобретшие YubiKey на всю жизнь, должны учиться жить. Сначала обсудим важность YubiKey для безопасности крипто активов, а затем поговорим о его долговременной уязвимости.
Что такое YubiKey
FIDO Alliance разработал это устройство размером с USB для помощи в проверке личности и паролей. Это устройство аутентификации, поддерживающее протоколы двухфакторной аутентификации и FIDO2, обеспечивает безопасность ваших крипто кошельков. Оно может работать офлайн, позволяя вам войти в систему простым прикосновением к ключу вместо ввода пароля, не полагаясь на телефон. Таким образом, вам не нужно хранить пароли от бирж или другие секретные ключи на WhatsApp, email или бумаге. Вы также можете использовать его, прикоснувшись к телефону благодаря функции NFC. Это устройство, совместимое с приложениями, такими как Lastpass и Google Password Manager, можно использовать не только для ваших крипто аккаунтов и кошельков, но и для всех ваших аккаунтов. Для дополнительной безопасности некоторые пользователи покупают два YubiKey, используя один активно, а другой как резервный ключ для восстановления.
Уязвимость YubiKey в безопасности
Все идеально, если только кто-то не приставил пистолет к вашей голове и не забрал ваш YubiKey. Однако недавно была обнаружена значительная уязвимость безопасности. Эксперты по кибербезопасности обнаружили уязвимость в ключах двухфакторной аутентификации YubiKey, которая позволяет клонировать устройство. Эта уязвимость была обнаружена в крипто библиотеке Infineon, используемой практически во всех продуктах, включая следующие серии: YubiKey 5, YubiKey Bio, Security Key, YubiHSM 2. Компания Yubico заявила, что эта уязвимость имеет умеренную степень жесткости и трудна для эксплуатации. Эксперты отметили, что для выполнения атаки злоумышленнику потребуется физическое владение YubiKey, знание целевых аккаунтов и специальное оборудование. Злоумышленнику также может потребоваться дополнительная информация, такая как имя пользователя, PIN-код, пароль от аккаунта или ключ аутентификации. Несмотря на сложность, атакеры, которые считают, что могут получить доступ к значительному количеству активов, могут преодолеть эту трудность.
Выводы и рекомендации
Поскольку прошивку YubiKey невозможно обновить, все устройства YubiKey 5 до версии 5.7 (или версии 5.7.2 для серии Bio и версии 2.4.0 для YubiHSM 2) будут иметь эту уязвимость на протяжении всей их жизни. Однако более поздние модели не подвержены этой уязвимости, так как они не используют крипто библиотеку Infineon. В заключение, пользователи должны быть внимательными и предпринимать дополнительные меры предосторожности, особенно если они владеют значительными активами.
В конце концов, YubiKey остается мощным устройством для обеспечения безопасности крипто активов, хотя пользователи должны быть осведомлены о существующих уязвимостях и принимать все возможные меры для защиты своих средств.
