Un grupo de investigadores de la Universidad de Masaryk, República Checa, han detectado que los chips del fabricante Infineon (y muchos otros), utilizados en una amplia variedad de microcontroladores, generan una clave RSA que no es segura. Concretamente, aquellos que forman parte del estándar conocido como TPM (Trusted Platform Module).

TPM es un estándar internacional y que detalla un criptoprocesador seguro que puede almacenar claves de cifrado para proteger información. La especificación también está disponible en el estándar internacional ISO/IEC 11889. Son microcontroladores dedicados que se integran en las placas base de las computadoras, smartphones, hardware de vehículos o cualquier dispositivo que posea cierta complejidad. Su finalidad es ofrecer cierto aislamiento de la información más sensible, ofreciendo los pasos necesarios para llevar a cabo la autenticación del resto de hardware y así acceder a la información protegida.
El problema radica en la generación de claves RSA que no poseen la seguridad adecuada. La especificación hardware TPM que se ha visto afectada es la 1.2 y la 2.0, aunque el fabricante no ha descartado por el momento que este listado sea mayor. La vulnerabilidad detectada permite realizar un ataque contra RSA 1024/2048 bits y la vulnerabilidad permite la divulgación de la clave privada.

Los chips afectados parece que son todos aquellos que se fabricaron a principios del año 2012, aunque la acotación no es que sea realmente precisa.

La publicación de algunos detalles se debe a que el fabricante germano se puso la semana pasada manos a la obra y publicó una actualización de firmware que era capaz de resolver este problema. Tal y como veremos a continuación, es cuestión de tiempo que todos los fabricantes de los equipos afectados lancen actualizaciones para solucionar el problema.

El equipo detrás de esta investigación ha publicado un sitio web con información adicional sobre el ataque, llamado ROCA (Return of Calpersmith's Attack), y un sitio web para probar si las claves RSA son vulnerables. También presentarán un documento con la investigación en la conferencia de seguridad ACM CCS.

Afectados

Que solo sea Infineon no quiere decir que el listado de fabricantes afectados no sea importante. Aunque aún podíamos decir que es información provisional, la realidad es que el siguiente listado nos hace ver cuál es la magnitud del problema de seguridad: Acer, ASUS, Fujitsu, HP, Lenovo, LG, Samsung, Toshiba o incluso los fabricantes de Chromebook se han visto afectados por este fallo de seguridad.

Algunos fabricantes se han animado a hablar sobre la importancia de la vulnerabilidad. Indican que las claves generadas no son seguras y que la clave pública permite obtener la clave privada. Algunos fabricantes han indicado que están trabajando para publicar actualizaciones del firmware de los dispositivos que sean capaces de resolver este problema.

Microsoft y Google ya han publica actualizaciones para su software que permite mitigar los efectos de la vulnerabilidad, aunque no la resuelve, siendo necesaria una actualización del firmware de la placa base afectada.

Fuente: Bleeping Computer