严重的随机数生成器漏洞披露，数十亿IoT设备受影响-低调大师

严重的随机数生成器漏洞披露，数十亿IoT设备受影响

2021-08-12 710

研究人员披露了数十亿物联网(IoT)设备中使用的随机数生成器严重漏洞，这意味着大量用户面临潜在攻击风险。

网络安全组织Bishop Fox的研究人员Dan Petro和Allan Cecil在上周发表的一项分析中表示：

“事实证明，在物联网设备中，这些'随机'选择的数字并不总是像你希望的那样随机，在许多情况下，设备会随机选择0或更弱的加密密钥，这可能导致任何上游服务器出现崩溃，从而面临安全问题。”

随机数生成(RNG)是一个支撑加密应用的关键过程，其中包括密钥生成、随机数和加盐。在传统的操作系统中，RNG是由加密安全伪随机数生成器 (CSPRNG)分化而来，后者使用了高质量种子源中的熵。

在物联网设备中，系统级芯片(SoC)装有一个专门的硬件RNG外设，称为真随机数生成器(TRNG)，用于从物理过程或现象中捕获“随机性”。

研究人员指出，当前调用外部设备的方式是不正确的，他们注意到因缺乏对错误代码响应的全面检查，导致产生的随机数不是简单的随机，更糟糕的是可预测的情况，包含部分熵、未初始化的内存，甚至包含纯零的密码密钥泄露。

“RNG外围设备的HAL功能可能因各种原因而失效，但到目前为止最常见的或者说最可利用的设备已经耗尽了熵。硬件RNG外设通过各种方式(如模拟传感器或电磁场读数)从宇宙中提取熵，但并不能够无限供应。”

RNG每秒钟只能产生这么多的随机位。如果在RNG HAL函数没有任何随机数可以给你的时候调用它，它就会失败并返回一个错误代码。因此，如果设备试图过快的获得太多的随机数，调用将失败。

这个是物联网领域的独有的问题。因为物联网设备通常缺乏带有随机性API的操作系统(例如，类似Unix的操作系统中的"/dev/random "或Windows中的BCryptGenRandom)，研究人员认为与CSPRNG子系统相关的熵池有更大的好处，从而消除了 "熵源中的任何单点故障"。

虽然这些问题可以通过软件更新来补救，但理想的解决方案是物联网设备制造商和开发人员从一组不同的熵源中生成CSPRNG API，并确保代码不会忽略错误条件，或在没有更多的熵可用时能阻止对RNG的调用。

研究人员强调：“这不是一个简单的漏洞。为了防范这种风险，物联网操作系统中确实需要一个类似CSPRNG的复杂功能设计。”

鸿蒙官方战略合作共建――HarmonyOS技术社区

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202108/677702.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

黑客从 Poly Network 窃取价值6 亿美元加密货币

比特币的优势使它成为地下领域交易的优秀信用担当，然而比特币是否如传言的那么安全呢?那就需要看从哪个角度看问题了。早前2014年，日报东京的比特币交易所 Mt. Gox被黑客从其在线金库中窃取了相当于 4.6 亿美元的比特币，黑客总能从最“安全”的仓库里顺走一些有价值的东西，而为比特币吹嘘的人自然不会给你谈及还有黑客可以顺走你的比特币，因为这不在他们考虑范围，他们所考虑的是做一些见不得光的事情，而不受合法政府追责。最近，黑客再出手。黑客从一个基于区块链的金融网络中窃取了价值 6.11 亿美元的加密货币，是针对数字资产行业的最大抢劫案之一，使其领先于交易所Coincheck和Mt. Gox。 Poly Network 一个跨链去中心化金融 (DeFi) 平台，用于在多个区块链(如比特币、以太坊等)之间交换代币，周二披露身份不明的参与者利用其系统中的漏洞掠夺了数以千计的数字代币，如以太币。起始 Poly Network 自称是全球领先的「轻量级」异构链跨链互操作协议，其独特设计的异构链以及跨链桥技术将通过在源链部署智能合约控制跨链，从协议层一举打通各个异构链之间甚至各个主流公链之间的通...

2021-08-12

656

据《重庆商报》相关报道称，公开数据显示，2020年全球数据泄漏的纪录达到310亿条，超过了过去15年的总和。今年3月，电脑巨头宏�遭到勒索攻击，黑客开出了高额的赎金，约合人民币3.25亿元。网络攻击已成为大国间对抗的热点话题。在日前召开的第九届互联网安全大会(ISC 2021)上，中国工程院院士邬贺铨表示，随着产业数字化的推进，新安全问题带来的后果更为严重，急需采用新的战略思路来全面增强网络安全的防护能力。在日前召开的第九届互联网安全大会上，中国工程院院士邬贺铨表示，随着产业数字化的推进，新安全问题带来的后果更为严重，需要采用新的战略思路来全面增强网络安全的防护能力。新型安全市场进入加速增长期 7月3日，瑞典最大的连锁超市Coop支付系统遭到黑客袭击，全国800多家店铺被迫停业;美国软件开发商 Kaseya Ltd遭受勒索攻击，并索要价值7000万美元的比特币赎金……在数字大潮涌动之时，网络安全威胁风险日益增加，网络安全挑战迭出。一边是不断出现的网络安全新挑战，一边是日益增长的网络安全新需求，网络安全发展正迎来新“拐点”。在日前召开的第九届互联网安全大会上发布的数据显示，今年上...

2021-08-12

589

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。