La llave Titan de Google es vulnerable: Puede ser clonada

[jorge_kai]

La llave Titan de Google es vulnerable: Puede ser clonada



Leemos en teknofilo.com

"Para evitar el acceso no autorizado a los sistemas empresariales, Google distribuyó a sus empleados la llave de seguridad de Titán, que luego lanzó también a la venta para el público general. Se trata de una llave USB que actúa de segundo factor de autenticación cuando el usuario la conecta al ordenador. Es una herramienta de seguridad bastante útil, pero resulta que este dispositio puede ser clonado. Según un informe publicado en Ninjalab, la llave Titan de Google es vulnerable a ataques de clonación. Esto se debe al uso del conjunto de chips NXP A700X, que también se utiliza en otras llaves de seguridad. El atacante podría clonar la llave y utilizarla para acceder a los sistemas empresariales como si fuera la auténtica."

fuente: teknofilo.com

[jorge_kai]

https://www.teknofilo.com/la-llave-t...e-ser-clonada

Ir al link original: https://www.teknofilo.com/la-llave-titan-de-google-es-vulnerable-puede-ser-clonada

[Rufii]

Tan Titan no será

[javieritis]

Sería necesario que el atacante supiera tu usuario/contraseña de acceso, y necesitaría tener acceso físico a la llave para desmontarla y clonarla

Me parece casi imposible para la mayoría de los mortales como nosotros.

[pochitor]

Tener acceso a clave y usuario, y acceso físico para desmontarla.... Coño, así no es que sea vulnerable, es que así es vulnerable hasta los ordenadores del fbi o lo que sea.....
¿Domingo?, ¿Relleno?

[Asno]

No hombre no, al estar conectada al ordenador es cuando la hackean. Lo ideal es usarla y quitarla al momento.

Supongo.

[InspireD]

Nada es 100% seguro.

 Cita: Originalmente Escrito por InspireD

Nada es 100% seguro.

Cierto, y en el propio resumen del paper publicado con el ataque mencionan 2 cosas
1- Sigue siendo mejor usar como token 2FA una llave Titan que no usar nada.
2- Es posible hacer ese clonado y para usuarios donde eso sea una amenaza (no lo es para el usuario común ni mucho menos), se debería considerar utilizar otra llave FIDO U2F para las que no haya ataques conocidos (que las hay)

Eso si, es de todo menos sencillo el tema

"However, it requires that the adversary steals during several hours the device of the victim without the victim noticing, open or thin the IC package, access to expensive side-channel setup equipment (about 10ke) and custom attack softwares."

Solamente hace falta robar la llave de la víctima durante horas sin que se entere, abrirlo, tener hardware que cuesta unos 10.000 euros, y ataques software específicos para ello...