Daniel Bradbury Dočekal 
RSA, od roku 2006 součást EMC, oznámila otevřeným dopisem a podáním u SEC, že se neznámým útočníkům podařilo získat informace o desítkách milionů klíčů, které jsou používány jako podstatný bezpečnostní autentizační prvek po celém světě.
Our investigation has led us to believe that the attack is in the category of an Advanced Persistent Threat (APT). Our investigation also revealed that the attack resulted in certain information being extracted from RSA’s systems. Some of that information is specifically related to RSA’s SecurID two-factor authentication products. While at this time we are confident that the information extracted does not enable a successful direct attack on any of our RSA SecurID customers, this information could potentially be used to reduce the effectiveness of a current two-factor authentication implementation as part of a broader attack. We are very actively communicating this situation to RSA customers and providing immediate steps for them to take to strengthen their SecurID implementations.
SecurID security token hardware je “klíčenka”, která po stisknutí klávesy generuje číslo, které je poté možné použít v rámci přihlašovacího (autentizačního) procesu – tzv. dvou faktorová autentizace je doplněk přihlašovacích mechanismů. Umožňuje zajistit větší bezpečnost – vedle klasického jména a hesla doplňuje prvek, který by měl zaručit, že případné odcizení jména a hesla neumožní přihlášení. Generované šestimístné číslo je pseudonáhodné a mění se každých 60 sekund. Případný útočník musí tak získat jméno, heslo a ještě navíc získat přístup k SecurID klíčence.
Princip klíčenky je ten, že je unikátní a vázaná k jedné konkrétní identitě – unikátní 128 bitová “seed” (počáteční) hodnota určuje, jaké sekvence bude klíčenka v čase generovat – a zde je malý problém. Pokud se někomu podaří odhalit počáteční hodnotu nebo zjistit jaký algoritmus je používán pro generováni pseudo náhodných čísel, může získat ono pseudonáhodné číslo i bez fyzického přístupu k SecurID.
Tedy, musel. 25 tisíc zákazníků používajících SecurID se už nemohou cítit úplně bezpečně – z RSA se podařilo někomu získat informace, které umožňují generovat ona pseudonáhodná čísla podle potřeby. Velmi pravděpodobně unikla právě ona “seed” čísla, tedy počáteční nastavení klíčenek. Útočníkům by tak stačilo odposlouchávat komunikaci příslušné klíčenky a získat tak vše potřebné k tomu, aby mohli vytvořit příští autentizační šestimístné číslo.
Možná je i horší varianta – SecurID používá nedostatečně bezpečný algoritmus – v případě podobných řešení zpravidla jde o možnost, že z několika známých čísel je možné odvodit algoritmus pro rekonstrukci dalších. Zatímco v prvním případě by řešení problému spočívalo ve vydání nových SecurID klíčenek každému uživateli, v tomto druhém případě by muselo RSA nejprve vytvořit zcela nový algoritmus a teprve poté vyměnit všechny klíčenky.
Ještě horší varianta se ovšem také nabízí – možná došlo k prozrazení kompletního algoritmu, který RSA používá v klíčenkách – ten ostatně již byl zpochybněn.
Jak to ve skutečnost je se hned nedozvíme. RSA konkrétní informace neposkytuje a zákazníky pouze ujišťuje, že zde není hrozba “přímého útoku” na SecurID. Pouze varuje, že útok může být použit k “snížení efektivity” systému – zajímavé na varování je, že upozorňuje na nutnou opatrnost v oblasti sociální sítí a médií. Zajímavé je i to, že hovoří o “Advanced Persient Threat” – APT zpravidla znamená, že došlo k cílenému útoku “uvnitř” firmy – zpravidla nasazení trojanů, backdoorů – tedy průniku útočného software do vnitřní sítě.