Artikel top billede

RSA afviser at tokens kan hackes

Nu hævder forskere, at de har knækket et RSA-token på 13 minutter. Men RSA afviser.

En gruppe af sikkerheds-forskere fra flere europæiske universiteter fortæller nu, at de har fundet en alvorlig sårbarhed i de populære tokens fra RSA. Det er en lille enhed på størrelse med en nøglering, som bruges til at generere engangs-kodeord. Der er mindst 40 millioner af disse tokens i brug, og sidste år måtte RSA udskifte mange af dem efter et internet-angreb, hvor hackere havde fået fat i følsomme informationer om systemet.

Nu har forskere altså fundet et nyt sikkerhedsproblem. I deres forskningspapir hævder de, at det er lykkes at knække et token på blot 13 minutter.

Det enkelte token genererer en unik kode hvert minut, som er en kombination af en unik seed-code på den enkelte enhed og klokkeslettet. Koden kan så bruges som et engangs-password til f.eks. netbanker.
 
Selv hvis koden bliver opsnappet, er det således ikke muligt for en hacker at logge sig ind på netbanken med den samme kode - og det skulle være umuligt at gætte koden.

Men forskerne mener altså, at sikkerheden er mangelfuld. RSA-teknologichef Sam Curry har allerede reageret i et blogindlæg, hvor han afviser, at der skulle være et problem. Der er tale om en teoretisk sårbarhed, som ikke kan udnyttes i praksis, mener han.

Det kræver nemlig, at angriberen både er i besiddelse af det pågældende token og den tilhørende pin-kode. Desuden hævder RSA, at angriberen ikke kan få fat i den private nøgle på det pågældende token, og den funktion, der genererer engangs-kodeord, skulle ikke være kompromitteret.

Dermed ser det ud til, at RSA ikke har tænkt sig at gennemføre en ny stor ombytning af tokens, ligesom det skete sidste år. Det menes, at RSA-hackerne sidste år fik fat i seed-koder eller den algoritme, der bruges til at generere engangs-kodeord.

Det blev muligvis brugt til et hacker-angreb mod Lockheed Martin, hvor mistanken rettede sig mod Kina.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Also A/S
Salg af serviceydelser inden for logistik, finansiering, fragt og levering, helhedsløsninger, digitale tjenester og individuelle it-løsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Computerworld Cloud & AI Festival 2025

Glæd dig til to dage, hvor du kan netværke med over 2.400 it-professionelle, møde mere end 50 it-leverandører og høre indlæg fra +90 talere. Vi sætter fokus på emner som AI; infrastruktur, compliance, sikkerhed og løsninger for både private og offentlige organisationer.

17. september 2025 | Læs mere


IT og OT i harmoni: Sikring uden at gå på kompromis med effektiviteten

IT og OT smelter sammen – men med risiko for dyre fejl. Få metoder til sikker integration med ERP, kundesystemer og produktion. Tilmeld dig og få styr på forskellene og faldgruberne.

24. september 2025 | Læs mere


NIS2: Vi gør status efter tre måneder og lærer af erfaringerne

Vær med, når vi deler oplevelser med implementering af NIS2 og drøfter, hvordan du undgår at gentage erfaringerne fra GDPR – og særligt undgår kostbar overimplementering.

30. september 2025 | Læs mere