Quando usi GnuPG con un Yubikey 4 su un laptop per le comunicazioni via e-mail: un trojan può estrarre qualsiasi chiave segreta o informazione sensibile?
In caso affermativo, quali sarebbero le informazioni?
Quando usi GnuPG con un Yubikey 4 su un laptop per le comunicazioni via e-mail: un trojan può estrarre qualsiasi chiave segreta o informazione sensibile?
In caso affermativo, quali sarebbero le informazioni?
Potresti concludere il resto della risposta con "Gli YubiKeys implementano il protocollo della smart card crittografica utilizzando un microcontrollore programmabile". Quindi cosa implica?
L'idea alla base delle smart card crittografiche è che sono dotate del proprio processore crittografico e sono in grado di eseguire diverse operazioni:
Un'operazione non supportata è che estrae chiavi, l'idea delle smart card OpenPGP limita l'impatto sulle violazioni al momento in cui la scheda / chiave è connessa al macchina. Questo significa anche che se vuoi una copia di backup, devi creare la chiave su un computer e caricarla sulla smart card / YubiKey.
Tutto questo è spiegato nel blog di Yubico YubiKey NEO e OpenPGP :
WARNING: You cannot backup the secret keys – so if you lose the YubiKey NEO, re-generate another key pair or other lose the key pair there is no way to retrieve it! When you encrypt a file, make sure you have a plain text backup.
puoi (ma non devi) memorizzare alcune informazioni personali su smart card OpenPGP, anche il venditore potrebbe farlo (ad esempio, la FSFE firma i contenuti originali della chiave con la propria chiave, incluse alcune informazioni personali che hanno pre-programmato). Non sono sicuro se lo YubiKey implementa l'intero standard di smart card OpenPGP e non ho il mio YubiKey con me adesso, ma credo che lo faccia. Le informazioni che vengono sempre memorizzate sono il numero di serie e non appena le chiavi vengono create con le loro impronte digitali e le date di creazione. C'è un contatore delle firme che potrebbe indicare l'utilizzo della chiave / carta. Inoltre, puoi (ma non devi) impostare il nome, la lingua, il sesso del titolare della carta, l'URI della chiave pubblica e alcuni dati di accesso.
In realtà YubiKey è un computer completo e tutte le operazioni con smart card sono implementate nel software. Potrebbero esserci bug e altri problemi, e non è possibile verificare realmente il software, sui prodotti non di sviluppo non è nemmeno possibile installare il proprio software (che ovviamente si applica anche ai token hardware, che potrebbero includere bug e backdoor, dove è anche necessario fidarsi del venditore, ma il software è solitamente più complesso, meno ben compreso e più probabile che abbia problemi).
YubiKey (Neo) era già interessato da un problema, che consente di eseguire cripto operazioni senza conoscenza del PIN dell'utente . Estrarre le chiavi era non possibile a causa di questo problema.
Un attaccante molto sofisticato potrebbe persino essere in grado di aprire il dispositivo e leggere le informazioni memorizzate (che si applica anche alle smart card "dedicate" per OpenPGP e altri protocolli, ovviamente).
Un'alternativa che sostiene di essere hardware e software open source (che in teoria consentirebbe la verifica, mentre la produzione del proprio dispositivo è probabilmente fuori ambito) è Nitrokey . Non sono sicuro di come verificare il software in esecuzione sul dispositivo e se si possa scambiare l'intero software con il codice sorgente auto-compilato (e valutato?), Almeno si dovrebbe essere in grado di farlo per le singole applicazioni ( come OpenPGP).