Para peneliti keamanan telah menemukan kerentanan pada model YubiKey 5 tertentu yang secara teoritis memungkinkan kloning, namun para ahli menyarankan bahwa risiko di dunia nyata tetap rendah bagi sebagian besar pengguna.
 |
|---|
| Foto close-up dari kunci keamanan YubiKey 5C, mengilustrasikan perangkat keras yang terkena dampak kerentanan yang baru ditemukan |
Kerentanan
Peneliti di NinjaLab mengidentifikasi serangan side-channel yang memanfaatkan kelemahan kriptografis dalam mikrokontroler Infineon SLE78 yang digunakan dalam perangkat YubiKey 5. Kerentanan ini berpotensi mempengaruhi jutaan pengguna yang mengandalkan kunci ini untuk autentikasi multi-faktor untuk mengamankan akun-akun sensitif.
Perangkat yang Terdampak
Produk YubiKey berikut dengan versi firmware sebelum 5.7 terdampak:
- Seri YubiKey 5
- Seri YubiKey 5 FIPS
- Seri YubiKey 5 CSPN
- Seri YubiKey Bio (sebelum 5.7.2)
- Seri Security Key
- YubiHSM 2 (sebelum 2.4.0)
Serangan: Canggih dan Membutuhkan Banyak Sumber Daya
Meskipun kerentanan ini mengkhawatirkan, untuk mengeksploitasinya diperlukan:
- Kepemilikan fisik YubiKey
- Peralatan khusus (osiloskop)
- Pengetahuan teknis tingkat lanjut
- Waktu dan sumber daya yang signifikan
NinjaLab memperkirakan biaya peralatan yang diperlukan sekitar $10.000, dengan setup kelas atas berpotensi mencapai $40.000.
Tanggapan Yubico
Yubico telah mengakui kerentanan tersebut dan merilis firmware yang diperbarui (versi 5.7 dan yang lebih baru) yang mengatasi masalah ini. Namun, karena sifat kunci yang tahan gangguan, perangkat yang sudah ada tidak dapat diperbaiki.
Haruskah Anda Khawatir?
Meskipun ada kerentanan, para ahli keamanan menekankan bahwa menggunakan YubiKey masih memberikan perlindungan yang jauh lebih kuat daripada hanya mengandalkan kata sandi. Sifat serangan yang canggih membuatnya tidak mungkin menjadi ancaman luas bagi sebagian besar pengguna.
Apa yang Harus Dilakukan Pengguna
- Periksa versi YubiKey Anda menggunakan aplikasi Yubico Authenticator
- Jika menggunakan model yang terdampak, pertimbangkan untuk meningkatkan ke versi yang lebih baru untuk aplikasi kritis
- Terus gunakan YubiKey Anda, karena masih menawarkan perlindungan kuat terhadap vektor serangan umum
Implikasi Lebih Luas
Kerentanan yang ditemukan mungkin meluas di luar YubiKey ke perangkat lain yang menggunakan mikrokontroler Infineon SLE78, termasuk paspor elektronik dan dompet perangkat keras cryptocurrency. Penelitian lebih lanjut sedang berlangsung untuk menentukan cakupan penuh dari masalah ini.
Meskipun kerentanan YubiKey 5 adalah pengingat bahwa tidak ada solusi keamanan yang sempurna, hal ini juga menyoroti pentingnya penelitian keamanan yang berkelanjutan dan nilai autentikasi berbasis perangkat keras dalam menciptakan lapisan pertahanan yang kuat.