|
更多全球网络安全资讯尽在E安全官网www.easyaq.com ( W$ ]- s7 q% b7 K8 i8 h1 P/ x0 A6 |
# f- r* i! u, {* a& U4 h1 J[size=1em]" _9 ~# Z: r1 s
4 B. e5 H% }3 X7 A: ?8 y5 L4 e0 J) ^0 q. @) j) p6 w
[size=1em]小编来报：安全研究人员发现一家HSM（硬件安全模块）供应商的产品中存在漏洞，黑客可远程完全控制HSM。
5 x% \: V" n9 q$ F0 I- x4 X: C% _- ^1 a2 Y; M. c& q
% M; p& N5 _- ]据外媒报道，两位安全研究人员最近披露了一些漏洞，这些漏洞可被远程利用，以检索存储在特殊计算机组件HSM（硬件安全模块）中的敏感数据。HSM是一种硬件隔离设备，使用高级密码学来存储、操作和处理数字密钥、密码、PIN等敏感信息。
+ |" q/ x; k. B' { : e7 N( u1 P. o/ R0 ~
HSM以计算机扩展卡、可联网的路由器式设备或USB连接的拇指驱动器式设备的形式存在，通常用于金融机构、政府机构、数据中心、云提供商和电信运营商等。尽管近20年来，它们一直是一种小型硬件组件，但实际非常常见，今天的许多硬件钱包基本上都是经过设计的HSM。
( E J p1 V" o. K
$ X, ^* a0 ]4 T9 g% Y' B# y, X0 T
* o% f0 _3 L2 Y4 ]# E9 ]# s$ p. ?/ Q5 \4 s
 在一家HSM供应商中发现远程攻击
% k% D. o" g1 d; I$ i7 q
+ r6 m, c2 | K+ e; g
& A1 I; t( ~1 c8 ]5 G0 Z2 B0 n上周在法国举行的一次安全会议上，硬件钱包制造商Ledger的两名安全研究人员披露了一家HSM主要供应商的几个漏洞细节。他们计划在8月于美国举行的黑帽安全会议上发表他们的研究成果。
% i% b: E; h: [# X/ t7 v% M. y9 F
) {7 U: x0 D/ w \: o6 X根据即将发表的报告摘要，研究人员发现，漏洞允许未经身份验证的远程攻击者完全控制该供应商的HSM。研究人员表示，这些攻击允许远程检索所有HSM机密，其中包括加密密钥和管理员凭证。此外，两人还表示，他们可以利用固件签名验证中的一个密码漏洞，将修改后的固件上传到HSM，而这个固件包括一个在固件更新后仍然存在的持久后门。! x: o8 }' U0 |) t; y8 e
O4 w% \. [5 `5 e8 J+ Q
& D: T3 Y: H/ A
8 U- U$ g' F# c5 t+ D ( \' e' P3 S! R, Y% c
/ @0 [) L' z- e2 `5 m供应商名称不详
( b9 g/ N" B$ C* s/ t) v+ c
* q0 j. n$ s: j研究人员将调查结果报告给了HSM制造商，制造商随后发布了带有安全补丁的固件更新。他们并没有透露供应商的名字，但Cryptosense安全审计软件的团队指出，供应商可能是Gemalto。Gemalto上月发布了Sentinel LDK的安全更新，这是一种用于管理HSM组件上硬件密钥的API。) z% D h9 W- s! o% t M
) ]9 i9 a& y7 [6 P/ T2 ~/ U- s
Cryptosense团队指出，Ledger研究团队使用的攻击方法并不特别新颖，其他人很可能已经发现了这些安全漏洞。国家级情报机构中资金充足的漏洞研究团队也可以开展类似的工作，发现这次攻击。攻击中最令人担忧的部分是持久性的后门，黑客可能会在包含类似后门的关键基础设施中部署恶意HSM。
# `# r: ]$ g7 }$ a8 k% d注：本文由E安全编译报道,转载请注明原文地址 I0 a: J i: A) `3 y
# `) s- l, z b( Fhttps://www.easyaq.com+ f; U9 a# Z+ N3 E0 d
推荐阅读：) S* A9 V# {2 m8 W M- S: L
( f. t( h2 N/ i: v
' b5 B# U$ G6 t, J; T- 新的僵尸网络出现，150多万台RDP服务器很危险！) v( C5 X8 [4 T& [" @* R3 u
- 专家表示，微软删除面部识别数据库为时已晚
}! x) C5 W/ k# E1 W7 j - 怎么回事?自动取款机突然开始扔钱……$ {- o) J: j- @0 ~, R
- 4种对抗网络攻击的方法! Z7 `7 h* V q- p2 x3 Q% F
- 伊朗黑客组织新添黑客武器，政府网络易受影响4 w- L/ A# N( Y; x N) U8 n
- Exim SMTP Mail Server漏洞预警
0 A& @' h/ d! ]2 [9 U: {2 Q* L
8 s7 U1 m6 |. I# ^& P
1 b7 a3 `* H) O R3 E
0 h) T8 d! U0 a# c! b0 ?▼点击“阅读原文” 查看更多精彩内容
: p9 V; E5 L+ t/ k( ^
o! R a+ ]5 C& i6 y* D4 v) \* ^3 y3 L+ o' F
 喜欢记得打赏小E哦！3 }; ]& A2 F( a
* e2 [' u: h7 O. P% C3 ]9 K- j7 T- g
: r; b+ y* ~. x1 X6 D
4 a, o2 s1 {5 }( L2 f# I+ |" F: q0 o. e- G
* X( l+ E/ n1 M/ X; N
来源：http://mp.weixin.qq.com/s?src=11×tamp=1560222005&ver=1661&signature=rkvqd82BkR-d6QSZ7KIkGPE4lZWar7umiFou7f*Ulydgf4*kiVe511JqcbL0Aypx3jX*Zf7V3IqNq*dnDhV4Z7Fl3dPPZbCjxxzUpgr1o4njghyZX1Mo87pmCFfh6kIZ&new=1! r' ] M- u, |- o8 E* _
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ | 
|手机版|小黑屋|梦想之都-俊月星空
( 粤ICP备18056059号 )|网站地图
发表于 2019-6-11 11:23:37
