|
更多全球网络安全资讯尽在E安全官网www.easyaq.com ' U" |! i! I/ V9 X
* R' p" `" R; l' }' H8 M) b0 i/ `[size=1em]: @. J# K) W7 {2 A" f# [4 v3 y
; w* t8 u* _" d5 ]: [4 \. B$ ~2 Y: i: \: g% q
[size=1em]小编来报：安全研究人员发现一家HSM（硬件安全模块）供应商的产品中存在漏洞，黑客可远程完全控制HSM。7 k* n% P3 v0 m/ \: R
. M$ u5 k) X9 ]$ p5 O) i1 c
; ~( D% Y) a- S# h据外媒报道，两位安全研究人员最近披露了一些漏洞，这些漏洞可被远程利用，以检索存储在特殊计算机组件HSM（硬件安全模块）中的敏感数据。HSM是一种硬件隔离设备，使用高级密码学来存储、操作和处理数字密钥、密码、PIN等敏感信息。
b2 U0 X$ w' e# l + c2 C- N3 K& J7 h
HSM以计算机扩展卡、可联网的路由器式设备或USB连接的拇指驱动器式设备的形式存在，通常用于金融机构、政府机构、数据中心、云提供商和电信运营商等。尽管近20年来，它们一直是一种小型硬件组件，但实际非常常见，今天的许多硬件钱包基本上都是经过设计的HSM。
9 V/ [2 N' R+ M: Y7 k9 J3 F
' H8 A3 H1 `$ P3 L; M1 g' x$ T5 X( T
; R( h* o$ b% x. F
$ j* z; ^9 D; E% V% _% b( p
 在一家HSM供应商中发现远程攻击
! _& S _0 x4 F3 @8 x
+ |& p. c; g% t3 P( G$ x5 w5 e9 x8 E. j& I8 x. Y* h
上周在法国举行的一次安全会议上，硬件钱包制造商Ledger的两名安全研究人员披露了一家HSM主要供应商的几个漏洞细节。他们计划在8月于美国举行的黑帽安全会议上发表他们的研究成果。
9 K$ w$ N6 [- K/ T ; u% X: H) ?- r- L% d' e
根据即将发表的报告摘要，研究人员发现，漏洞允许未经身份验证的远程攻击者完全控制该供应商的HSM。研究人员表示，这些攻击允许远程检索所有HSM机密，其中包括加密密钥和管理员凭证。此外，两人还表示，他们可以利用固件签名验证中的一个密码漏洞，将修改后的固件上传到HSM，而这个固件包括一个在固件更新后仍然存在的持久后门。
9 h' _% O) z/ {" g
3 M D+ k9 q" E6 V& t7 w! U
3 I- ^: B* P+ w D: @* U3 F& M: B4 W" D' ]* y3 b
) H5 H* n) U" u. l! `, V- H6 y2 m3 r; a3 q7 v
供应商名称不详
e0 [! M; J& {+ M6 `/ g; _2 b" u* w; B# Q
研究人员将调查结果报告给了HSM制造商，制造商随后发布了带有安全补丁的固件更新。他们并没有透露供应商的名字，但Cryptosense安全审计软件的团队指出，供应商可能是Gemalto。Gemalto上月发布了Sentinel LDK的安全更新，这是一种用于管理HSM组件上硬件密钥的API。
+ {8 e u1 ~. N3 n * U% ]- [+ b" E% |+ f" U* C6 }
Cryptosense团队指出，Ledger研究团队使用的攻击方法并不特别新颖，其他人很可能已经发现了这些安全漏洞。国家级情报机构中资金充足的漏洞研究团队也可以开展类似的工作，发现这次攻击。攻击中最令人担忧的部分是持久性的后门，黑客可能会在包含类似后门的关键基础设施中部署恶意HSM。" }1 w* o* N% N @# h, @# \
注：本文由E安全编译报道,转载请注明原文地址* m7 {" t& s" d$ x, _+ Z
! `5 X! D% [1 n G& U) w
https://www.easyaq.com A+ f' O- Y/ _+ o
推荐阅读：
' O, C( w% \9 a+ a3 Q: h/ |
% C# p$ p' H. ^$ E# w% k7 U5 t" r, _. C- q+ s
- 新的僵尸网络出现，150多万台RDP服务器很危险！0 {+ B" T+ M- E' W8 `4 E! J
- 专家表示，微软删除面部识别数据库为时已晚& N0 R8 ^- H$ T3 C: `/ |
- 怎么回事?自动取款机突然开始扔钱……: t$ B; K5 d8 ~
- 4种对抗网络攻击的方法4 F% ^$ u y- T% V9 u
- 伊朗黑客组织新添黑客武器，政府网络易受影响0 r) c9 a6 v7 q' I
- Exim SMTP Mail Server漏洞预警
+ G! r- S! F) A* M. A: m; r
: X! x$ g8 A. N8 p
% d6 A `- F$ J5 u- k( @: q8 D, O( J* [
▼点击“阅读原文” 查看更多精彩内容2 ^! E" [2 G* T: }
! s" N C1 y& }6 v8 A2 [. W/ B0 [! k1 f
; d$ K( d4 N4 |& L. m* j) Z 喜欢记得打赏小E哦！% v$ Y* z& w( U1 l+ h" T
1 u! ], k6 I2 B0 Z% N% A+ K; M( I2 k
9 N. j/ N" K+ h$ }( [; a- C7 T5 ?* `& e2 ]$ {/ ]
" ^+ i; s" E J- S
来源：http://mp.weixin.qq.com/s?src=11×tamp=1560222005&ver=1661&signature=rkvqd82BkR-d6QSZ7KIkGPE4lZWar7umiFou7f*Ulydgf4*kiVe511JqcbL0Aypx3jX*Zf7V3IqNq*dnDhV4Z7Fl3dPPZbCjxxzUpgr1o4njghyZX1Mo87pmCFfh6kIZ&new=1
" C' x& c6 Y( p }2 N: n9 f免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ | 
|手机版|小黑屋|梦想之都-俊月星空
( 粤ICP备18056059号 )|网站地图
发表于 2019-6-11 11:23:37
