Samsung Galaxy από S8 μέχρι S21 ανύπαρκτη κρυπτογράφηση

Ερευνητές στο



Πανεπιστήμιο

του Τελ Αβίβ ανακάλυψαν “σοβαρές” ατέλειες σχεδιασμού στην



κρυπτογράφηση

των Samsung smartphone, που επιτρέπουν σε εισβολείς να αποκτήσουν τα κρυπτογραφικά κλειδιά των συσκευών.

Επιπλέον, οι εισβολείς θα μπορούσαν να εκμεταλλευτούν τα κρυπτογραφικά λάθη της Samsung — υπάρχουν πολλά CVE — για να υποβαθμίσουν τα πρωτόκολλα ασφαλείας μιας συσκευής. Αυτό φυσικά κάνει τα τηλέφωνα ευάλωτα σε επιθέσεις και συγκεκριμένα σε μια πρακτική γνωστή σαν επιθέσεις επαναχρησιμοποίησης IV (initialization vector).

Τα ελαττώματα του σχεδιασμού επηρεάζουν κυρίως συσκευές που χρησιμοποιούν την τεχνολογία TrustZone της ARM. Το TrustZone χωρίζει ένα τηλέφωνο σε δύο μέρη, το Normal world (για την εκτέλεση τακτικών εργασιών, όπως το Android OS) και το Secure world, που χειρίζεται το υποσύστημα ασφαλείας και όπου βρίσκονται όλοι οι ευαίσθητοι πόροι. Το Secure world είναι προσβάσιμο μόνο σε αξιόπιστες εφαρμογές που χρησιμοποιούνται για

λειτουργίες

ευαίσθητες στην ασφάλεια, όπως την



κρυπτογράφηση

.

Ο Matthew Green, αναπληρωτής καθηγητής της επιστήμης των υπολογιστών στο Ινστιτούτο Ασφάλειας Πληροφοριών Johns Hopkins, ανέφερε στο Twitter ότι η Samsung ενσωμάτωσε “σοβαρά ελαττώματα” στον τρόπο με τον οποίο τα τηλέφωνά της κρυπτογραφούν βασικό hardware στο TrustZone.

Ugh god. Serious flaws in the way Samsung phones encrypt key material in TrustZone and it’s embarrassingly bad. They used a single key and allowed IV re-use.

https://t.co/XteB3kc8cH


pic.twitter.com/4wxA6XBuN2

— Matthew Green (@matthew_d_green)

February 22, 2022

Τα τηλέφωνα της Samsung που κινδυνεύουν αυτή τη στιγμή είναι όλα τα μοντέλα που

κυκλοφόρησαν

από το Galaxy S8 του 2017 μέχρι το Galaxy S21 του περασμένου έτους.

Για περισσότερες πληροφορίες:

threatpost.com



CVE-2021-25444

,

CVE-2021-25490