ニュース
» 2012年06月27日 11時00分 UPDATE

RSAの「SecurID 800」の暗号鍵を13分で抜き取れる――科学者が論文を発表

パディングオラクル攻撃と呼ばれる手段により、RSAやSiemens、Aladdinのセキュリティ端末のクラッキングに成功したと科学者チームが発表した。

[佐藤由紀子,ITmedia]

 米EMC傘下のRSAが提供する2要素認証製品「SecurID 800」が生成する暗号鍵を13分で取り出せたという研究結果が公開された(リンク先はPDF)。米メディアのArs Technicaが6月26日(現地時間)に報じた。

 securid RSA SecurID 800

 SecurID 800は、RSA SecurIDのワンタイムパスワード機能をUSBデバイスに組み込んだ認証デバイス。パスワード情報を安全に保管できるとして、多数の企業や政府機関が採用している。

 Team Proseccoと名乗る科学者チームは発表文で、RSAの製品をはじめとする一連の暗号化デバイスの暗号鍵インポート機能の脆弱性を突くことに成功したとしている。パディングオラクル攻撃と呼ばれる暗号解読手段を用いたところ、Aladdin eToken PRO、Gemalto Cyberex、RSA SecurID 800、SafeNet iKey 2032、Siemens CardOSで鍵を引き出すことができたという。中でもSecurID 800で最も短い13分で鍵の取得に成功した。

 同チームは8月にカリフォルニア州サンタバーバラで開催される国際暗号研究学会(IACR)主催の暗号国際会議「CRYPTO 2012」でこの研究結果を発表する予定だ。

【UPDATE】RSAは同日、公式ブログで、この論文で説明している方法でSecurID 800の安全性が脅かされることはないと反論した。科学者チームが指摘した脆弱性により、(考えにくいことだが)攻撃者が直接デバイスを手にすればデバイスに送られるデータにアクセスできるかもしれないが、だからといってデバイスに保存されるプライベート鍵が攻撃者にさらされるわけではないという。

Copyright© 2016 ITmedia, Inc. All Rights Reserved.

Loading

ピックアップコンテンツ

- PR -

注目のテーマ