Sobald das Gerät zurückgegeben wurde, können sie dann einen Seitenkanalangriff starten, um den mit dem Konto verknüpften Elliptic Curve Digital Signature Algorithm (ECDSA) zu extrahieren. Dadurch erhalten sie dann unbemerkt Zugang.

Geklonte Yubikeys möglich

“Nehmen wir an, ein Angreifer ist in der Lage, Ihren YubiKey zu stehlen, ihn zu öffnen, um auf die Logikplatine zuzugreifen, den Eucleak-Angriff anzuwenden und dann den ursprünglichen YubiKey so zu verpacken, dass Sie nicht merken, dass Sie ihn verloren haben”, so Roche. “Dann kann der Angreifer einen Klon Ihres Authentifizierungsfaktors erstellen – eine Kopie Ihres eigenen YubiKey. Man fühlt sich sicher, obwohl man es in Wirklichkeit nicht ist.”

Die kryptografische Schwachstelle, die dies ermöglicht, befindet sich in einem kleinen Mikrocontroller im Gerät. Roche betonte, dass Angreifer jedoch in den Besitz eines Schlüssels gelangen müssen und die Möglichkeit haben müssen, den anfälligen Vorgang mit einer oft teuren Spezialausrüstung zu überprüfen.