EUCLEAK攻撃に脆弱なファームウェアを搭載した旧在庫を今も販売するYubiKey

• YubiKeyが、いまだにEUCLEAK攻撃に脆弱なファームウェアを搭載した旧在庫を販売していることが報告された
• Fefe's Blogのある読者がこれを報告した

[GN⁺]

Hacker Newsの意見

• YubiKeyの脆弱性発表を見逃していたが、個人の脅威モデルには大きな影響はない

  • 攻撃者がYubiKeyを物理的に所持し、標的アカウントに関する知識と専門機器を必要とする
  • ユーザー名、PIN、アカウントのパスワード、認証鍵などの追加情報が必要になる可能性がある

• Yubicoが脆弱なキーを廃棄せずに販売しているとの指摘がある

  • 新しいファームウェアのキーは、まず組織および「優先顧客」に供給される

• 顧客がYubicoを信頼できるのかという疑問が提起されている

  • メーカーは顧客保護のために努力すべきだという期待がある
  • 脆弱なキーを販売することは信頼違反と見なされる

• YubiKeyを紛失するとデータが危殆化する可能性がある

  • 14年間発見されなかった脆弱性が存在する
  • YubiKeyを分解しなくても秘密を抽出できる方法がある

• Yubicoがキーを販売する理由は、ファームウェアのバージョンを明確に表示するのにコストがかかるためだとされる

  • 競合が参入する好機に見える
  • Nitrokeyが有力な代替案として挙げられている

• セキュリティトークンを購入する際は、オープンなファームウェアとハードウェアを持つ製品を好む

  • 独立して検査された製品を求めている
  • ファームウェアをロードして更新できる機能があると望ましい

• Nitrokeyを推奨する

  • ソフトウェアはGitHubで公開されている

• 旧型のYubiKeyを割引価格で購入してもよいと考えている

  • 個人の脅威モデルでは、盗まれたキーへの耐性はそれほど重要ではない

• 顧客はセキュリティトークンを選ぶ最終段階にいた

  • YubiKeyはもはや選択肢ではない
  • 欠陥への対処方法に失望している

• Yubicoのキーを購入すると、手動で送られる押しの強い営業メールを受け取る可能性がある