【DEF CON】数十亿物联网设备受严重随机数生成器缺陷影响

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士

数十亿物联网设备使用的硬件随机数生成器未能正确生成随机数，严重影响这些设备的安全，将其置于攻击风险中。

Bishop Fox 公司的研究员 Dan Petro 和 Allan Cecil 指出，“事实证明这些‘随机’选取的数字并不总是随机的。在很多情况下，这些物联网选择的是密钥0或更糟糕的密钥。这可能为上游使用造成灾难性安全后果。”

随机数生成器 (RNG) 是加固多款加密应用程序的关键过程，包括密钥生成器、随机数和 salting。在传统操作系统上，它衍生自加面前的伪随机数生成器 (CSPRNG)，使用获取自高质量种子来源的熵。而在物联网设备中，该熵由片上系统提供，该片上系统提供了名为真正随机数生成器 (TRNG)的专用硬件 RNG 外设，用于捕获来自物理过程或现象的随机性。

研究人员表示，外设当前被调用的方式是不正确的，由于缺乏对错误代码响应的检查，导致生成的随机数并不随机，而且更糟糕的是，它们是可被预测的，从而导致熵不完整、内存未清理甚至密钥由0组成。

他们认为，虽然RNG 外设的 HAL 函数可能会因多种原因失败，但到目前为止最常见（和可被利用）的是设备缺少熵。硬件 RNG 外设通过多种方式（如模拟传感器或EMF读数）获取熵但无法无限供应，“它们每秒只能生成这么多随机位。如果在它无法提供任何随机数的情况下试图调用 RNG HAL 函数，则它会失败并返回错误代码。因此，如果该设备试图以太快的速度获取太多的随机数，则调用将开始失败。”

这个问题是物联网设备独有的，因为它们缺少通常伴随随机性API的操作系统（如 Unix 类操作系统中的 “/dev/random”或Windows 中的 BCryptGenRandom）。研究人员强调了和 CSPRNG 子系统相关联的更大的熵池，从而删除了“熵来源的任意单点失败”。

尽管可通过软件更新的方式修复这些问题，但理想的解决方案是物联网设备制造商和开发商包含源自多样化熵来源的 CSPRNG API并确保代码不会忽视错误条件，或在不存在更多熵的情况下确保不会拦截RNG调用。

研究人员指出，该漏洞并不容易修复，而是需要在物联网操作系统中实现 CSPRNG，“要修复这个问题，必须在物联网设备中投入庞大且复杂的特性“。

推荐阅读

这个路由器漏洞已存在12年，可影响全球数百万台设备引发供应链攻击

详解ThroughTek P2P 供应链漏洞对数百万物联网设备的安全新风险

三大制造商物联网设备遭恶意软件感染，疑似源自供应链攻击

原文链接

https://thehackernews.com/2021/08/a-critical-random-number-generator-flaw.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

【DEF CON】数十亿物联网设备受严重随机数生成器缺陷影响相关推荐

Ripple 20：严重漏洞影响全球数十亿IoT设备，复杂软件供应链使修复难上加难
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队周三,以色列网络安全公司 JSOF 警告称,在20世纪90年代设计的一个小型库 Treck TCP/IP 中发现了19个漏洞,可导致全 ...
CallStranger UPnP 漏洞曝光，影响数十亿台设备
执行摘要随着物联网的不断发展,物联网安全也越来越受到关注.自 2016 年下半年的 Mirai 僵尸网络攻击事件之后,物联网相关的威胁层出不穷,多个在野漏洞被攻击者所利用,多个僵尸网络相继被研究人 ...
请立即更新你的手机、电脑、路由器！最新WiFi加密漏洞披露，超十亿台设备受影响
在近日于旧金山举行的RSA 2020安全会议上,来自斯洛伐克防病毒公司ESET的安全研究人员公布了有关影响WiFi通信的新漏洞的详细信息.该漏洞存在于Broadcom和Cypress制造的Wi-Fi芯 ...
数十亿个 Wi-Fi 设备存在缺陷，通信易被窃听！
作者 | DAN GOODIN 译者 | 弯月,责编 | 屠敏出品 | CSDN(ID:CSDNnews) 以下为译文: 在最近的RSA安全会议上,研究人员表示,数十亿设备(其中许多已打补丁)受到W ...
数百万设备受新型 BrakTooth 蓝牙漏洞影响，并非所有厂商均修复
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士本周,安全研究员发布影响蓝牙软件栈的16个漏洞,多家热门厂商的片上系统 (SoC) 都在使用该软件栈.这些漏洞被统称为 "BrakTo ...
《预训练周刊》第25期：HyperCLOVA：数十亿级韩语生成式预训练变换器、GPT-3在生物医学领域不是好的小样本学习器...
No.25 智源社区预训练组预训练研究观点资源活动关于周刊超大规模预训练模型是当前人工智能领域研究的热点,为了帮助研究与工程人员了解这一领域的进展和资讯,智源社区整理了第25期&l ...
全球数十亿条用户记录被泄露，姓名住址全曝光，Oracle或已引发今年最大的数据安全事件...
来源 | InfoQ 编译 | 核子可乐.Tina Oracle 的广告技术部门,因服务器处于不安全且未设置密码的状态,导致数据库中全球数十亿人的记录被泄露. Oracle 于 2014 年以超过 4 ...
杰克逊追悼会众星致辞献唱数十亿歌迷痛别
北京时间8日凌晨1点,杰克逊的追思会在美国洛杉矶斯台普斯体育中心举行,南非前总统曼德拉为其写了悼词,众多明星为其献唱,盛况空前,据美国媒体称是戴安娜王妃去世之后最受瞩目的一场追悼会. 追悼会现场气 ...
Facebook开源图嵌入“神器”：无需GPU，高效处理数十亿级实体图形 | 极客头条...
点击上方↑↑↑蓝字关注我们~ 「2019 Python开发者日」全日程揭晓,请扫码咨询 ↑↑↑ 编译 | Major.一一出品 | AI科技大本营(ID: rgznai100) 有效处理大规模图对于 ...

【DEF CON】数十亿物联网设备受严重随机数生成器缺陷影响

【DEF CON】数十亿物联网设备受严重随机数生成器缺陷影响相关推荐

最新文章

热门文章