Mise à jour de sécurité pour le stockage Nitrokey

Dans certaines circonstances, le Nitrokey Storage peut utiliser une clé AES vide pour crypter le stockage de masse et le Password Safe, permettant à un attaquant de décrypter les données cryptées. Par mesure de précaution, tout Nitrokey Storage doit être mis à jour avec un firmware 0.51 ou supérieur qui empêche le déverrouillage avec une clé AES de zéro. Nitrokey Storage avec firmware 0.51 ou supérieur et les autres modèles Nitrokey ne sont pas affectés. Vérifiez d'abord la version du microprogramme installé et suivez ces instructions. Note : Nous fournissons un nouvel outil de mise à jour facile à utiliser.

Par défaut, Nitrokey Storage crypte les données correctement et en toute sécurité. Ce problème pourrait apparaître si la carte à puce d'un Nitrokey Storage avec firmware 0.50 ou moins avait été réinitialisée en usine avec GnuPG ou un autre outil séparé, sans exécuter "Destroy encrypted data" dans l'application Nitrokey ensuite. Dans ce cas, 0x00... peut être utilisé comme une clé pour crypter les données, permettant à un attaquant de les décrypter facilement.

Après avoir mis à jour le micrologiciel, utilisez l'application Nitrokey pour déverrouiller votre volume crypté ou le Password Safe. Si cela fonctionne, votre appareil n'a pas été affecté. Néanmoins, si vous avez déjà réinitialisé les NIP d'utilisateur et d'administrateur avec la réinitialisation en usine de GnuPG ou un script de réinitialisation dédié, vous pouvez écraser les données de la mémoire de masse pour effacer toutes les données sensibles potentiellement non cryptées. Dans ce cas, suivez les instructions ci-dessous. Si vous n'avez pas utilisé GnuPG ou un script séparé pour réinitialiser à la fois le code PIN utilisateur et le code administrateur ou si vous avez saisi votre code administrateur pour déverrouiller le code utilisateur, votre terminal est sécurisé et vous n'avez rien d'autre à faire.

Après la mise à jour du firmware : Dans le cas où l'application Nitrokey rejette les tentatives de déverrouillage avec "Impossible d'activer le volume crypté. Code de statut : -Si vous ne pouvez pas déverrouiller votre appareil, votre appareil a été affecté et vous devez exécuter les étapes suivantes dans cet ordre :

1. Lancez Nitrokey App en mode administrateur : "nitrokey-app --admin"
2. Sélectionnez "Configurer -> Détruire les données cryptées" pour configurer votre appareil dans un état sécurisé.
3. Sélectionner "Configurer -> Configuration spéciale -> Initialize storage with random data" pour s'assurer qu'aucune donnée non sécurisée n'est laissée sur la mémoire de masse. Selon la capacité de stockage de votre appareil, cela peut prendre de 1/2 à 2 heures.

Nous tenons à remercier l'utilisateur, qui a trouvé le bogue et nous l'a divulgué de manière responsable. Nous n'avons pas de programme officiel de primes aux bogues, mais nous avons récompensé sa contribution avec un appareil gratuit de son choix.