웹사이트의 인증에 사용되는 암호인증은 암호 유출에 취약하기 때문에 물리키 등을 이용한 2단계인증을 도입하는 웹사이트가 증가하고 있습니다. Google의 'Titan 보안키'는 Google의 2단계인증에 사용할 수 있는 물리키 중 하나로, FIDO에 의한 생체인증에 대응하고 있는 것이 특징. 그런 Titan 보안키를 대상으로 보안조사 전문기관 NinjaLab이 사이드 채널 공격에 성공했다고 보고했습니다.
A Side Journey to Titan - NinjaLab
https://ninjalab.io/a-side-journey-to-titan/
A Side Journey to Titan - NinjaLab
Download the Writeup Abstract The Google Titan Security Key is a FIDO U2F hardware device proposed by Google (available since July 2018) as a two-factor authentication token to sign in to applications (e.g. your Google account). Our work describes a side-c
ninjalab.io
A Side Journey to Titan
https://ninjalab.io/wp-content/uploads/2021/01/a_side_journey_to_titan.pdf
Titan 보안키의 내부에는 고유의 비밀키가 안전하게 저장되어 있으며, 2단계인증시에는 이 비밀키가 사용됩니다. 비밀키는 Titan 보안키의 외부로 유출되지 않기 때문에 물리키를 안전하게 보관해두면 계정에 대한 무단 액세스를 방지할 수 있습니다.
NFC 기능이 있는 Titan 보안키를 분해하면 비밀키의 생성 · 저장을 수행하는 'NXP A7005'칩이 보입니다.
NinjaLab은 입수한 Titan 보안키를 분해하여 물리적 분석을 실시했습니다. 분석에는 NXP가 제조한 'J3D081_M59_DF' 등 NXP A7005와 비슷한 특성을 가진 제품군이 매우 도움이 되었다며, NinjaLab은 NXP A7005와 비슷한 특성을 가진 제품군을 'Rhea'로 명명, Rhea의 암호화 과정의 연구를 진행했다고 합니다. 분석은 아래의 그림과 같이 칩의 다이를 화학약품에 노출시켜 전자방사선을 측정하는 식으로 이루어졌습니다.
Rhea의 전자방사선의 파형에는 비밀키의 정보가 포함되어 있어서 샘플을 4000종류 가량 수집하여 기계학습에 의한 분석을 함으로써 Rhea의 비밀키를 복원하는 데 성공했다는 것. 이 분석 방법은 Titan 보안키에도 유효하다고 NinjaLab은 보고 있습니다.
이번 취약점은 Titan 보안키뿐만 아니라 Yubikey Neo와 FEITIAN의 물리키에도 영향을 미친다고 합니다. 취약점을 이용하기 위해서는 보안키에 대한 물리적 액세스, 전용 소프트웨어, 기술 능력이 필요하므로 NinjaLab은 "물리키를 이용하는 편이 보안을 향상시킬 수 있습니다"라며 아직 취약점이 발견되지 않은 물리키로의 전환을 권장합니다.
'IT' 카테고리의 다른 글
| Google 취약점 대책팀이 발견한 '매우 정교한 사이버공격'의 수법이란? (0) | 2021.01.13 |
|---|---|
| 비트코인 억만장자인데 비밀번호를 잊어버려 손도 못대는 프로그래머 (0) | 2021.01.13 |
| 스토리지가 고장난 iPhone 7을 사용하여 NFS를 통해 Ubuntu의 기동에 성공 (0) | 2021.01.13 |
| SNS 'Parler'에 게시된 100만 개 • 80TB의 영상을 메타데이터와 함께 해커가 취득한 것으로 판명 (0) | 2021.01.12 |
| 1550억 원의 몸값을 빼앗은 랜섬웨어 'Ryuk'가 사용한 수법이란? (0) | 2021.01.08 |
| IT업계에서 '반세기' 가까이 경력을 쌓고 얻은 교훈이란? (0) | 2021.01.08 |
| Intel, 얼굴인증 장치 'RealSense ID'를 발표 (0) | 2021.01.07 |
| '바이크를 타는 피카츄', '아보카도 의자' 등의 문장으로 그림과 사진을 생성하는 AI 'DALL·E' (0) | 2021.01.06 |
