EIDAUTH-007: Comprobación de la vulnerabilidad ROCA en claves FIDO2
- Plataforma
- Entra ID / M365
- Categoría
- Entra ID Authentication Methods & MFA
- Severidad
- Critical
- Pilar de Zero Trust
- Identity (peso 3)
- Fixtures de referencia
- 1
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
La vulnerabilidad ROCA (Return of Coppersmith's Attack) (CVE-2017-15361) afecta a la generación de claves RSA en el firmware de TPM de Infineon utilizado en determinadas claves de seguridad FIDO2, permitiendo la recuperación de la clave privada a partir de las claves públicas. Las claves afectadas producen pares de claves RSA débiles que pueden factorizarse, lo que socava por completo la seguridad de la credencial de autenticación. Las claves con firmware vulnerable deben identificarse y reemplazarse de inmediato.
Valor recomendado
Ninguna clave FIDO2 con firmware de TPM de Infineon vulnerable a ROCA en uso
Remediación
Identifique las claves FIDO2 que usan TPM de Infineon comprobando los valores AAGUID frente a los modelos vulnerables conocidos. Pruebe las claves registradas con herramientas de detección de ROCA para confirmar su estado de vulnerabilidad. Reemplace todas las claves afectadas por versiones de firmware corregidas o hardware alternativo y revoque los registros de las claves antiguas en Entra ID.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| not-implemented | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- IA-2(6), RA-5
- MITRE ATT&CK
- T1556