Falha descoberta em chaves Yubikey permite clonagem das mesmas

Os utilizadores que tenham as chaves físicas de autenticação da YubiKey devem ficar atentos a uma nova vulnerabilidade, que pode ser usada para potencialmente clonar a chave.

As chaves YubiKey são uma das mais conhecidas chaves físicas, que podem ser usadas para autenticação em duas etapas, e que garantem uma camada adicional de segurança – visto que é necessário estar fisicamente próximo das mesmas para realizar o login em plataformas que as suportam.

Existem várias famílias de chaves YubiKey, como a YubiKey 5, YubiKey Bio, Security Key, e YubiHSM 2. A falha agora descoberta afeta praticamente todas as chaves que tenham o firmware anterior à versão 5.7, ou 5.7.2 no caso da YubiKey Bio e 2.4.0 para a YubiHSM 2.

Os criadores da YubiKey classificam a falha como sendo de gravidade “moderada”, indicando que é necessário ter acesso físico à chave original para que a clonagem possa ser realizada, além de equipamento especializado para tal e bastante conhecimento técnico. No entanto, com estes pontos, a chave pode ser efetivamente clonada ou replicada.

A piorar a situação, o firmware de modelos mais antigos da chave não pode ser atualizado. Ou seja, quem tenha modelos mais antigos das YubiKey não terá a possibilidade de receber a correção do problema sem ser comprando uma versão mais recente com firmware atualizado.

Embora a falha possa permitir a clonagem das chaves, tendo em conta a complexidade, será um processo improvável de ocorrer para a maioria dos utilizadores. Pode, no entanto, ser uma forma de clonagem usada para ataques mais direcionados contra alvos específicos.