YubiKey : signalement selon lequel d’anciens stocks dotés d’un firmware vulnérable seraient toujours vendus

• Un signalement indique que d’anciens stocks de YubiKey embarquant un firmware vulnérable à l’attaque EUCLEAK ne sont pas détruits et continuent d’être vendus
• La source invoquée est un témoignage de lecteur sur le blog de Fefe, sans annonce officielle ni confirmation du fabricant
• Dans l’état actuel des informations vérifiables, on en reste au niveau de « vieux stock » et de « firmware vulnérable », sans nom de modèle ni version du firmware
• Le maintien de la vente repose lui aussi sur la formulation « apparently » ; il faut donc y voir davantage des éléments rapportés qu’un fait établi
• Même pour une YubiKey nouvellement achetée, il peut être nécessaire de vérifier séparément la présence d’une vulnérabilité du firmware

---

Ce que le signalement permet d’établir

• Il est partagé que YubiKey continuerait à vendre d’anciens stocks contenant un firmware vulnérable à l’attaque EUCLEAK
• Ces stocks seraient vendus au lieu d’être détruits
• Comme fondement, il est fait mention d’un témoignage de lecteur publié sur Fefe's Blog

Informations encore manquantes

• Le nom précis du modèle YubiKey, la version du firmware, la région de vente et le canal de distribution ne sont pas fournis
• Aucune position officielle de YubiKey ni information sur d’éventuelles mesures prises n’est incluse

[GN⁺]

Commentaire Hacker News

• L’annonce de la vulnérabilité des YubiKey a été manquée, mais elle n’a pas d’impact majeur sur le modèle de menace personnel

  • L’attaquant doit posséder physiquement la YubiKey, ainsi que disposer d’informations sur le compte visé et d’un équipement spécialisé
  • Des informations supplémentaires peuvent être nécessaires, comme le nom d’utilisateur, le PIN, le mot de passe du compte et les clés d’authentification

• Certains soulignent que Yubico continue de vendre des clés vulnérables au lieu de les retirer

  • Les clés dotées du nouveau firmware sont fournies en priorité aux institutions et aux « clients prioritaires »

• Des doutes sont exprimés quant à la possibilité de faire confiance à Yubico

  • On attend d’un fabricant qu’il fasse le nécessaire pour protéger ses clients
  • Vendre des clés vulnérables est considéré comme une rupture de confiance

• Perdre une YubiKey peut compromettre les données

  • Une vulnérabilité est restée indétectée pendant 14 ans
  • Il existe un moyen d’extraire les secrets sans démonter la YubiKey

• Si Yubico vend ces clés, c’est parce qu’indiquer clairement la version du firmware coûterait cher

  • Cela ressemble à une opportunité pour un concurrent d’émerger
  • Nitrokey est proposé comme bonne alternative

• Lors de l’achat d’un token de sécurité, les produits avec firmware et matériel open source sont préférés

  • On souhaite des produits inspectés de manière indépendante
  • Il serait appréciable de pouvoir charger et mettre à jour le firmware

• Nitrokey est recommandé

  • Le logiciel est publié sur GitHub

• Certains seraient prêts à acheter d’anciennes YubiKey à prix réduit

  • Dans leur modèle de menace personnel, une forte résistance au vol de clé n’est pas vraiment nécessaire

• Certains clients en étaient à l’étape finale du choix d’un token de sécurité

  • YubiKey n’est désormais plus une option
  • Ils sont déçus par la manière dont le défaut a été géré

• Lors de l’achat d’une clé Yubico, il est possible de recevoir des e-mails commerciaux passifs-agressifs