https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1

新聞

發生於硬體亂數產生器的嚴重錯誤,將導致數十億台 IoT 裝置面臨資安攻擊風險

2021 / 08 / 16
編輯部
發生於硬體亂數產生器的嚴重錯誤,將導致數十億台 IoT 裝置面臨資安攻擊風險
資安廠商 Bishop Fox 旗下的研究人員 Dan Petro 與 Allan Cecil,日前發現普遍應用於 IoT 裝置硬體中的「亂數產生器」(Random Number Generator, RNG)存有嚴重錯誤,可能因此導致全球數十億台 IoT 裝置面臨嚴重資安攻擊風險。

兩位研究人員在報告中指出,這些有問題的硬體亂數產生器,原本應該在每次運作時都隨機產生無法預測的亂數;但在某些需要頻繁產生亂數的使用情境時,有時會產生僅部分無序的亂數,有時產生的亂數都是 0,甚至還可能造成記憶體初始錯誤。

研究人員指出,由於這個亂數產生器的錯誤發生在硬體層,因此無法以作業系統或軟體方式加以修補;研究人員也說而為 IoT 裝置撰寫的軟體,通常都不會針對亂數產生的結果予以嚴密檢查。

由於在各種 IoT 裝置的資料加密過程中,加密金鑰的生成過程,需要使用硬體亂數產生器產生的亂數;一旦這些加密金鑰是有序的、容易預測,甚至根本就是 0 的話,加密的內容就很容易遭到解密,因而使得加密過程變得無效,影響這些 IoT 裝置的資安。

另外,這些 IoT 裝置搭載的作業系統,因為成本和執行效能的考量,大多是簡化的版本,在作業系統層面並未提供軟體亂數產生機制,而這類 IoT 裝置的數量又極多,估計全球約有數十億台已布署的 IoT 裝置。而這些 IoT 裝置在上市後的軟體更新極為困難,因此該錯誤對採用這些 IoT 裝置的公私單位、組織與個人,可能產生嚴重的資安風險。

本文轉載自TWCERT/CC。