Lỗ hổng trong trình tạo số ngẫu nhiên ảnh hưởng đến hàng tỷ thiết bị IoT

[Ginny Hà]

Các nhà nghiên cứu của Bishop Fox cho biết trong phân tích đưa ra tuần trước: “Trên các thiết bị IoT, hóa ra những con số ngẫu nhiên lại không phải lúc nào cũng ‘ngẫu nhiên’. Điều này dẫn tới các vấn đề về an ninh”.

Tạo số ngẫu nhiên (RNG) là một quá trình quan trọng tạo nền tảng cho một số ứng dụng mã hóa, bao gồm tạo khóa, ký tự mã hóa và salt. Trên các hệ điều hành truyền thống, việc này xuất phát từ trình tạo số giả ngẫu nhiên an toàn bằng mật mã (CSPRNG) sử dụng entropy (độ hỗn loạn) thu được từ nguồn chất lượng cao.

Trên các thiết bị IoT, quá trình này được tạo ra từ hệ thống trên chip (SoC) chứa thiết bị ngoại vi RNG phần cứng chuyên dụng được gọi là bộ tạo số ngẫu nhiên thực (TRNG). TRNG sẽ tạo số ngẫu nhiên từ các quy trình hoặc hiện tượng vật lý.

Các nhà nghiên cứu cho biết cách thức tạo số ngẫu nhiên trên thiết bị ngoại vi hiện tại không chính xác. Việc thiếu kiểm tra các phản hồi mã lỗi trên board dẫn đến tình huống số ngẫu nhiên được tạo ra không ngẫu nhiên, có thể dự đoán được. Điều này khiến entropy chỉ đạt một phần, bộ nhớ chưa được khởi tạo và thậm chí các key mã hóa chỉ chứa các số 0 thuần túy.

Các nhà nghiên cứu lưu ý: “Hàm HAL tới thiết bị ngoại vi RNG có thể bị lỗi vì nhiều lý do, nhưng cho đến nay, phổ biến nhất (và có thể khai thác được) là thiết bị đã hết entropy”.

Các thiết bị ngoại vi RNG phần cứng lấy entropy thông qua nhiều phương tiện (chẳng hạn như cảm biến analog hoặc các EMF), nhưng không có nguồn cung cấp vô hạn.

Vấn đề chỉ ảnh hưởng tới thiết bị IoT bởi chúng thiếu một hệ điều hành thường đi kèm với một API ngẫu nhiên (ví dụ: "/dev/random" trong Unix-like OSes hoặc BCryptGenRandom trong Windows). Các nhà nghiên cứu cũng nêu bật lợi ích của một nguồn entropy được liên kết với hệ thống CSPRNG con, giúp loại bỏ "bất kỳ nguy cơ gây lỗi nào liên quan đến nguồn entropy".

Mặc dù các vấn đề có thể được khắc phục bằng các bản cập nhật phần mềm, giải pháp lý tưởng sẽ là các nhà sản xuất và phát triển thiết bị IoT bổ sung API CSPRNG tạo từ một tập hợp các nguồn entropy đa dạng. Đồng thời, các hãng cũng cần lập trình sản phẩm để không bỏ qua các điều kiện lỗi hoặc không chặn được các truy vấn gọi đến RNG khi không còn entropy.

Nguồn: The Hacker News ​