Uma vulnerabilidade na base da segurança da Internet das Coisas (IoT) afeta bilhões de dispositivos que possuem um Gerador de Números Aleatórios (RNG).
Pesquisadores da Bishop Fox, Dan Petro e Allan Cecil, publicaram uma análise em que dizem:
Acontece que esses números escolhidos 'aleatoriamente' nem sempre são tão aleatórios quanto você gostaria quando se trata de dispositivos IoT
Na verdade, em muitos casos, os dispositivos estão escolhendo chaves de criptografia de 0 ou pior. Isso pode levar a um colapso catastrófico da segurança para qualquer uso upstream.
A geração de números aleatórios (RNG) é um processo crucial que sustenta vários aplicativos criptográficos, incluindo geração de chaves, nonces e salting. Em sistemas operacionais tradicionais, é derivado de um gerador de números pseudo-aleatórios criptograficamente seguro (CSPRNG) que usa entropia obtida de uma fonte de alta qualidade.
Nos dispositivos IoT um sistema em chip (SoC) hospeda um periférico RNG de hardware dedicado chamado gerador de número aleatório verdadeiro (TRNG) que é usado para capturar aleatoriedade de processos físicos ou fenômenos.
Os pesquisadores notaram uma falta de verificações de respostas de código de erro, levando a um cenário em que o número aleatório gerado não é simplesmente aleatório e, pior, previsível, resultando em entropia parcial, memória não inicializada e até mesmo chaves criptográficas contendo zeros simples. Veja mais alguns destaques da publicação:
A função HAL para o periférico RNG pode falhar por uma variedade de razões, mas de longe a mais comum (e explorável) é que o dispositivo ficou sem entropia.
Os periféricos de hardware RNG puxam a entropia para fora do universo através de uma variedade de meios (como sensores analógicos ou leituras EMF), mas não têm um suprimento infinito.
Eles só são capazes de produzir tantos bits aleatórios por segundo. Se você tentar chamar a função RNG HAL quando ela não tiver nenhum número aleatório para fornecer, ela falhará e retornará um código de erro. Portanto, se o dispositivo tenta obter muitos números aleatórios muito rapidamente, as chamadas começarão a falhar.
Embora os problemas possam ser corrigidos com atualizações de software, a solução ideal, segundo os pesquisadores, seria que os fabricantes e desenvolvedores de dispositivos IoT incluíssem uma API CSPRNG para garantir que o código não ignore as condições de erro e falhe.
Fonte: Dark Reading
Conheça nossas soluções avançadas, robustas e seguras de NOC & SOC, Zero Trust, Next-Gen Firewalls, LGPD, Hardware, Monitoramento de Rede, Transferência de Arquivos Gerenciada, Consultoria de TIC, Treinamentos, Sustentação de Aplicações, Outsourcing, Licenciamento Geral e Help Desk.
