Une faille dans les clés de sécurité permet une attaque compliquée contre les YubiKey 5

Depuis quelques années, les clés de sécurité basées sur les travaux de l'alliance FIDO sont de plus en plus populaires. Elles offrent en effet un second facteur d'authentification bien meilleur qu'un simple SMS (par exemple) et peuvent même remplacer totalement un mot de passe. Mais une faille dans le code d'Infineon, qui fournit les puces de certaines clés, peut poser des soucis de sécurité et même permettre à un attaquant (très) motivé de cloner une clé comme les modèles de la gamme YubiKey 5.

La clé YubiKey 5 est vulnérable.

Nous n'allons pas entrer dans les détails, car le sujet est très compliqué, mais les personnes intéressées pourront aller lire ce papier qui explique exactement le fonctionnement de l'attaque. Voici tout de même une explication schématique du problème. Dans une bonne partie des clés de sécurité, la puce qui effectue les calculs nécessaires à la validation est fournie par la société Infineon, qui s'occupe aussi habituellement de fournir la partie logicielle (le...