搜索

[17140] 2021-08-12_严重的随机数生成器漏洞披露，数十亿IoT设备受影响

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-08-12_严重的随机数生成器漏洞披露，数十亿IoT设备受影响 严 重 的 随 机 数 生 成 器 漏 洞 披 露 ， 数 十 亿 I o T 设 备 受 影 响 空 城 H C   F r e e B u f   2 0 2 1 - 0 8 - 1 2 研 究 人 员 披 露 了 数 十 亿 物 联 网 （ 研 究 人 员 披 露 了 数 十 亿 物 联 网 （ I o T ） 设 备 中 使 用 的 随 机 数 生 成 器 严 重 漏 洞 ， 这 意 味 着 大 量 用 户 面 临 潜 在 攻 击 ） 设 备 中 使 用 的 随 机 数 生 成 器 严 重 漏 洞 ， 这 意 味 着 大 量 用 户 面 临 潜 在 攻 击 风 险 。 风 险 。 网 络 安 全 组 织 B i s h o p   F o x 的 研 究 人 员 D a n   P e t r o 和 A l l a n   C e c i l 在 上 周 发 表 的 一 项 分 析 中 表 示 ： “ 事 实 证 明 ， 在 物 联 网 设 备 中 ， 这 些 ’ 随 机 ’ 选 择 的 数 字 并 不 总 是 像 你 希 望 的 那 样 随 机 ， 在 许 多 情 况 下 ， 设 备 会 随 机 选 择 0 或 更 弱 的 加 密 密 钥 ， 这 可 能 导 致 任 何 上 游 服 务 器 出 现 崩 溃 ， 从 而 面 临 安 全 问 题 。 ” 随 机 数 生 成 （ R N G ） 是 一 个 支 撑 加 密 应 用 的 关 键 过 程 ， 其 中 包 括 密 钥 生 成 、 随 机 数 和 加 盐 。 在 传 统 的 操 作 系 统 中 ， R N G 是 由 加 密 安 全 伪 随 机 数 生 成 器   ( C S P R N G ) 分 化 而 来 ， 后 者 使 用 了 高 质 量 种 子 源 中 的 熵 。 在 物 联 网 设 备 中 ， 系 统 级 芯 片 （ S o C ） 装 有 一 个 专 门 的 硬 件 R N G 外 设 ， 称 为 真 随 机 数 生 成 器 （ T R N G ） ， 用 于 从 物 理 过 程 或 现 象 中 捕 获 “ 随 机 性 ” 。 研 究 人 员 指 出 ， 当 前 调 用 外 部 设 备 的 方 式 是 不 正 确 的 ， 他 们 注 意 到 因 缺 乏 对 错 误 代 码 响 应 的 全 面 检 查 ， 导 致 产 生 的 因 缺 乏 对 错 误 代 码 响 应 的 全 面 检 查 ， 导 致 产 生 的 随 机 数 不 是 简 单 的 随 机 随 机 数 不 是 简 单 的 随 机 ， 更 糟 糕 的 是 可 预 测 的 情 况 ， 包 含 部 分 熵 、 未 初 始 化 的 内 存 ， 甚 至 包 含 纯 零 的 密 码 密 钥 泄 露 。 “ R N G 外 围 设 备 的 H A L 功 能 可 能 因 各 种 原 因 而 失 效 ， 但 到 目 前 为 止 最 常 见 的 或 者 说 最 可 利 用 的 设 备 已 经 耗 尽 了 熵 。 硬 件 R N G 外 设 通 过 各 种 方 式 （ 如 模 拟 传 感 器 或 电 磁 场 读 数 ） 从 宇 宙 中 提 取 熵 ， 但 并 不 能 够 无 限 供 应 。 ”
R N G 每 秒 钟 只 能 产 生 这 么 多 的 随 机 位 。 如 果 在 R N G   H A L 函 数 没 有 任 何 随 机 数 可 以 给 你 的 时 候 调 用 它 ， 它 就 会 失 败 并 返 回 一 个 错 误 代 码 。 因 此 ， 如 果 设 备 试 图 过 快 的 获 得 太 多 的 随 机 数 ， 调 用 将 失 败 。 这 个 是 物 联 网 领 域 的 独 有 的 问 题 。 因 为 物 联 网 设 备 通 常 缺 乏 带 有 随 机 性 A P I 的 操 作 系 统 （ 例 如 ， 类 似 U n i x 的 操 作 系 统 中 的 ” / d e v / r a n d o m   “ 或 W i n d o w s 中 的 B C r y p t G e n R a n d o m ） ， 研 究 人 员 认 为 与 C S P R N G 子 系 统 相 关 的 熵 池 有 更 大 的 好 处 ， 从 而 消 除 了   “ 熵 源 中 的 任 何 单 点 故 障 ” 。 虽 然 这 些 问 题 可 以 通 过 软 件 更 新 来 补 救 ， 但 理 想 的 解 决 方 案 是 物 联 网 设 备 制 造 商 和 开 发 人 员 从 一 组 不 同 的 熵 源 中 生 成 C S P R N G   A P I ， 并 确 保 代 码 不 会 忽 略 错 误 条 件 ， 或 在 没 有 更 多 的 熵 可 用 时 能 阻 止 对 R N G 的 调 用 。 研 究 人 员 强 调 ： “ 这 不 是 一 个 简 单 的 漏 洞 。 为 了 防 范 这 种 风 险 ， 物 联 网 操 作 系 统 中 确 实 需 要 一 个 类 似 C S P R N G 的 复 杂 功 能 设 计 。 ” 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理