多年来，安全行业受益于由安全厂商、研究人员和媒体组成的道德准则。研究人员开展了一项有价值的任务是，从理论和实践上找出产品和技术的不足，预防潜在的攻击。安全厂商采纳这些研究成果，开发出更安全的产品。最终，媒体公开报道这一流程，帮助安全从业者和产品用户，准确地评估有关这些潜在漏洞的风险，确保所有相关方采取必要的措施。

　　本周，RSA 收到许多问询、媒体转载、博客链接和微博，声称科研人员“攻破”了 RSA SecurID 800 认证器。这是一个警示性的论断，立即引起了让那些已经部署了 RSA SecurID 800 认证器的客户的强烈关注。然而：唯一的问题是，这不是事实。很多报道夸大了这一研究的实践意义，混淆技术语言，有可能影响安全从业者准确地评估他们正在使用产品的风险。最直接的结果是，让产品用户和广大安全业界浪费时间，以澄清真实的情况。

　　让我们看看到底发生了什么事，目前处在怎样的状况。

　　这个命名为“Project Team Prosecco”的研究组事实上没有覆盖任何有意义的新领域，具体到 RSA 产品这个案例，也没有突显出 RSASecurID 800 令牌（或任何其它 RSA 产品）用户有任何实际的风险。显然，这只是试图继续探索 PKCS #1 v1.5 缺陷的潜在影响，但不论这一研究的潜在结果如何，这始终是一项有益的实验。

　　研究人员中所述的漏洞，有可能（但不太可能）攻击者可以接入到用户的智能卡设备和用户的智能卡的 PIN，并可能获得对称密钥或其他加密的数据发送到智能卡。因为，它不会允许攻击者危及智能卡上存储的私钥。在重申一次，它不会允许攻击者危及智能卡上存储的私钥。

　　RSA 的立场是，不要被媒体报道误导。有媒体报道说 RSA SecurID 800 认证器“被攻破”。实际上，研究人员只是指出了在 PKCS #1 v1.5（公钥加密标准#1 1.5 版）填充机制中广泛采用的一个已知漏洞。研究中提到五家厂商采用这一标准，即 Aladdin、Gemalto、RSA、Safenet 和 Siemens。以下是 RSA 关于 Project Team Prosecco 研究的立场要点：

　　· 这一研究只与 RSA SecurID 800 令牌的智能卡功能有关。它不会对令牌的动态口令功能有任何影响。

　　· 它不会影响到 RSA SecurID 700 或其它 RSA SecurID 身份认证器，包括软件令牌。只跟上面提到的 RSA SecurID 800 令牌的智能卡功能有关。

　　· 这不是一起有用的攻击。这些研究人员只是开展了一次学术实验，指出协议中的一个漏洞， 然而一起真正的攻击需要访问 RSA SecurID 800 智能卡（例如，插入到一台受攻击的计算机）并使用用户的智能卡密码。如果发起攻击的人已经有智能卡和识别码，就不需要演示任何攻击，因此这一研究作为一个安全探索的增值有限。

　　· 这一漏洞并不会暴露智能卡上存储的专有密钥。由此推断，这一具体的漏洞，不会让入侵者成功地获得与专有密钥相对应的、用户认证使用的公共密钥。

　　我们给客户的建议：

　　遵循有关终端安全的最佳实践。包括确保用户设备安装最新的防恶意软件和防病毒软件。RSA 提醒所有用户安装最新的操作系统安全补丁，并参考由微软以及其它操作系统提供商为可信和非可信用户提供的涉及安全配置和管理权限的操作系统加强指南。

　　遵循有关终端用户安全意识的最佳实践。使用完毕后，终端用户应从 USB 接口处退出 RSA SecurID 800 设备。

　　在需要加密的应用中使用带 OAEP 的 PKCS #1 2.0 版。并非只针对此类漏洞，RSA 长期以来一直认为用户应使用配置了 OAEP（最优非对称加密填充）的、更高级的 PKCS（公钥加密标准） #1 2.0 版。RSASecuriID 800 技术支持这一标准。

　　确保 RSA 认证客户端为最新版。作为一个最佳实践，用户应使用 2011 年 8 月已经问世的 RSA 3.5.4 或更高级别的中间件。

　　我们欢迎更多人研究我们的产品，研究我们和其它安全公司所使用的第三方技术，这将有助于改进我们共同的信息安全解决方案。但是，如果类似研究引起混淆或夸大的言论和报道，其结果是混乱、不必要的担扰、非建设性的合作。我们认为，所有参与方都应该确保，给从业人员和安全业界提供准确、有用的信息。

　　译自：RSA 产品管理兼战略副总裁 Sam Curry 的博客。