搜索

[5960] 2019-06-11_一家HSM供应商的产品存在严重漏洞，敏感信息易被窃取

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2019-06-11_一家HSM供应商的产品存在严重漏洞，敏感信息易被窃取 一 家 H S M 供 应 商 的 产 品 存 在 严 重 漏 洞 ， 敏 感 信 息 易 被 窃 取 原 创   E 安 全   E 安 全   2 0 1 9 - 0 6 - 1 1 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 小 编 来 报 ： 小 编 来 报 ： 安 全 研 究 人 员 发 现 一 家 H S M （ 硬 件 安 全 模 块 ） 供 应 商 的 产 品 中 存 在 漏 洞 ， 黑 客 可 远 程 完 全 控 制 H S M 。 据 外 媒 报 道 ， 两 位 安 全 研 究 人 员 最 近 披 露 了 一 些 漏 洞 ， 这 些 漏 洞 可 被 远 程 利 用 ， 以 检 索 存 储 在 特 殊 计 算 机 组 件 这 些 漏 洞 可 被 远 程 利 用 ， 以 检 索 存 储 在 特 殊 计 算 机 组 件 H S M （ 硬 件 安 全 模 块 ） （ 硬 件 安 全 模 块 ） 中 的 敏 感 数 据 。 中 的 敏 感 数 据 。 H S M 是 一 种 硬 件 隔 离 设 备 ， 使 用 高 级 密 码 学 来 存 储 、 操 作 和 处 理 数 字 密 钥 、 密 码 、 P I N 等 敏 感 信 息 。   H S M 以 计 算 机 扩 展 卡 、 可 联 网 的 路 由 器 式 设 备 或 U S B 连 接 的 拇 指 驱 动 器 式 设 备 的 形 式 存 在 ， 通 常 用 于 金 融 机 构 、 政 通 常 用 于 金 融 机 构 、 政 府 机 构 、 数 据 中 心 、 云 提 供 商 和 电 信 运 营 商 等 。 府 机 构 、 数 据 中 心 、 云 提 供 商 和 电 信 运 营 商 等 。 尽 管 近 2 0 年 来 ， 它 们 一 直 是 一 种 小 型 硬 件 组 件 ， 但 实 际 非 常 常 见 ， 今 天 的 许 多 硬 件 钱 包 基 本 上 都 是 经 过 设 计 的 H S M 。   在 一 家 在 一 家 H S M 供 应 商 中 发 现 远 程 攻 击 供 应 商 中 发 现 远 程 攻 击 上 周 在 法 国 举 行 的 一 次 安 全 会 议 上 ， 硬 件 钱 包 制 造 商 L e d g e r 的 两 名 安 全 研 究 人 员 披 露 了 一 家 H S M 主 要 供 应 商 的 几 个 漏 洞 细 节 。 他 们 计 划 在 8 月 于 美 国 举 行 的 黑 帽 安 全 会 议 上 发 表 他 们 的 研 究 成 果 。
  根 据 即 将 发 表 的 报 告 摘 要 ， 研 究 人 员 发 现 ， 漏 洞 允 许 未 经 身 份 验 证 的 远 程 攻 击 者 完 全 控 制 该 供 应 商 的 研 究 人 员 发 现 ， 漏 洞 允 许 未 经 身 份 验 证 的 远 程 攻 击 者 完 全 控 制 该 供 应 商 的 H S M 。 。 研 究 人 员 表 示 ， 这 些 攻 击 允 许 远 程 检 索 所 有 H S M 机 密 ， 其 中 包 括 加 密 密 钥 和 管 理 员 凭 证 。 此 外 ， 两 人 还 表 示 ， 他 们 可 以 利 用 固 件 签 名 验 证 中 的 一 个 密 码 漏 洞 ， 将 修 改 后 的 固 件 上 传 到 H S M ， 而 这 个 固 件 包 括 一 个 在 固 件 更 新 后 仍 然 存 在 的 持 久 后 门 。   供 应 商 名 称 不 详 供 应 商 名 称 不 详 研 究 人 员 将 调 查 结 果 报 告 给 了 H S M 制 造 商 ， 制 造 商 随 后 发 布 了 带 有 安 全 补 丁 的 固 件 更 新 。 他 们 并 没 有 透 露 供 应 商 的 他 们 并 没 有 透 露 供 应 商 的 名 字 ， 但 名 字 ， 但 C r y p t o s e n s e 安 全 审 计 软 件 的 团 队 指 出 ， 供 应 商 可 能 是 安 全 审 计 软 件 的 团 队 指 出 ， 供 应 商 可 能 是 G e m a l t o 。 。 G e m a l t o 上 月 发 布 了 S e n t i n e l   L D K 的 安 全 更 新 ， 这 是 一 种 用 于 管 理 H S M 组 件 上 硬 件 密 钥 的 A P I 。   C r y p t o s e n s e 团 队 指 出 ， L e d g e r 研 究 团 队 使 用 的 攻 击 方 法 并 不 特 别 新 颖 ， 其 他 人 很 可 能 已 经 发 现 了 这 些 安 全 漏 洞 。 国 家 级 情 报 机 构 中 资 金 充 足 的 漏 洞 研 究 团 队 也 可 以 开 展 类 似 的 工 作 ， 发 现 这 次 攻 击 。 攻 击 中 最 令 人 担 忧 的 部 分 是 攻 击 中 最 令 人 担 忧 的 部 分 是 持 久 性 的 持 久 性 的 后 后 门 ， 黑 客 可 能 会 在 包 含 类 似 后 门 的 关 键 基 础 设 施 中 部 署 恶 意 门 ， 黑 客 可 能 会 在 包 含 类 似 后 门 的 关 键 基 础 设 施 中 部 署 恶 意 H S M 。 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 新 的 僵 尸 网 络 出 现 ， 1 5 0 多 万 台 R D P 服 务 器 很 危 险 ！ 专 家 表 示 ， 微 软 删 除 面 部 识 别 数 据 库 为 时 已 晚 怎 么 回 事 ? 自 动 取 款 机 突 然 开 始 扔 钱 … … 4 种 对 抗 网 络 攻 击 的 方 法 伊 朗 黑 客 组 织 新 添 黑 客 武 器 ， 政 府 网 络 易 受 影 响
E x i m   S M T P   M a i l   S e r v e r 漏 洞 预 警 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理