En gruppe af sikkerheds-forskere fra flere europæiske universiteter fortæller nu, at de har fundet en alvorlig sårbarhed i de populære tokens fra RSA. Det er en lille enhed på størrelse med en nøglering, som bruges til at generere engangs-kodeord. Der er mindst 40 millioner af disse tokens i brug, og sidste år måtte RSA udskifte mange af dem efter et internet-angreb, hvor hackere havde fået fat i følsomme informationer om systemet.
Nu har forskere altså fundet et nyt sikkerhedsproblem. I deres forskningspapir hævder de, at det er lykkes at knække et token på blot 13 minutter.
Det enkelte token genererer en unik kode hvert minut, som er en kombination af en unik seed-code på den enkelte enhed og klokkeslettet. Koden kan så bruges som et engangs-password til f.eks. netbanker.
Selv hvis koden bliver opsnappet, er det således ikke muligt for en hacker at logge sig ind på netbanken med den samme kode - og det skulle være umuligt at gætte koden.
Men forskerne mener altså, at sikkerheden er mangelfuld. RSA-teknologichef Sam Curry har allerede reageret i et blogindlæg, hvor han afviser, at der skulle være et problem. Der er tale om en teoretisk sårbarhed, som ikke kan udnyttes i praksis, mener han.
Det kræver nemlig, at angriberen både er i besiddelse af det pågældende token og den tilhørende pin-kode. Desuden hævder RSA, at angriberen ikke kan få fat i den private nøgle på det pågældende token, og den funktion, der genererer engangs-kodeord, skulle ikke være kompromitteret.
Dermed ser det ud til, at RSA ikke har tænkt sig at gennemføre en ny stor ombytning af tokens, ligesom det skete sidste år. Det menes, at RSA-hackerne sidste år fik fat i seed-koder eller den algoritme, der bruges til at generere engangs-kodeord.
Det blev muligvis brugt til et hacker-angreb mod Lockheed Martin, hvor mistanken rettede sig mod Kina.
