Yubico今天表示，它计划替换某些硬件安全密钥，因为固件缺陷降低了其设备生成的密钥的随机性。
受影响的产品包括YubiKey FIPS系列的部分型号，即根据美国政府的联邦信息处理标准(FIPS)认证用于美国政府网络(和其他网络)的一系列YubiKey认证密钥。
根据今天发布的Yubico安全警告，运行固件版本4.4.2和4.4.4的YubiKey FIPS系列设备在启动后，在设备的数据缓冲区中保留了“一些可预测的内容”。
这种“可预测的内容”将在启动后的短时间内影响设备上生成的密钥的随机性，直到“可预测的内容”全部用完，缓冲区中出现真正的随机数据。
这意味着，在使用受影响的4.4.2和4.4.4版本启动YubiKey FIPS系列设备后的短时间内，将生成可部分或全部恢复的密钥，具体取决于密钥用于特定身份验证操作的加密算法。
例如:
——一个RSA密钥可能影响80预测位至少2048位——ECDSA签名,nonce K变得明显偏向80 256位的静态的,导致削弱了ECC密钥生成的签名——,关键可能影响80预测部分的最小256位的密钥长度,ECC加密私钥的16位变得认识——secp256r1私钥,关键可能影响16可预测的部分,将密钥中的未知位从256位减少到240位—对于secp384r1私有密钥，密钥中的未知位从384位减少到368位
Yubico现在建议YubiKey FIPS系列的用户检查他们的密钥的固件版本，并在他们的门户网站上注册一个替换版本——如果他们还没有收到的话。
Yubico表示，用户将收到新的YubiKey FIPS系列密钥，其固件版本为4.4.5。
YubiKey FIPS系列固件版本4.4.3没有被列为受影响的版本，因为Yubico从未发布过该版本，并且从4.4.2跳到4.4.4。
在今天发布的技术咨询中，该公司还列出了一些涉及YubiKey FIPS系列的认证过程可能受到影响的场景。
例如，基于FIDO u2f的认证过程被确认为受影响，而在某些情况下，YubiKey FIPS系列密钥与智能卡、誓言一次性密码、OpenPGP一起使用可能会降低认证过程的安全性。
总而言之，攻击者利用此漏洞的危险很低，因为拦截身份验证操作然后破坏其余的加密密钥的要求很复杂。
不过，最好不要让用户冒任何风险，特别是在高度敏感的网络中使用这些密钥。
Yubico是过去一个月里第二家在其安全密钥中发现漏洞后提供替换服务的公司。今年5月，谷歌召回了部分Titan安全密钥，原因是在该密钥的蓝牙配对协议中发现了一个漏洞。