Нова техника за атака по странични канали, която позволява възстановяване на ECDSA ключове

Изследователи от университета им. Масарика разкриха информация за уязвимости в различни реализации на алгоритмите за създаване на цифров подпис ECDSA/EdDSA, които позволяват възстановяване на стойността на частния ключ на база анализ на изтичане на информация за отделни битове, появяващи се при прилагането на методи за анализ по странични канали. Уязвимостите получиха кодово име Minerva.

Най-известните проекти, на които се отнася предложената методология за атака, са OpenJDK/OracleJDK (CVE-2019-2894) и библиотеката Libgcrypt (CVE-2019-13627), използвана в GnuPG. Проблемът също така засяга MatrixSSL, Crypto++, wolfCrypt, елиптични, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc и смарт карти Athena IDProtect. Все още не са тествани, но като потенциално уязвими също така се заявяват картите Valid S/A IDflex V, SafeNet eToken 4300 и TecSec Armored Card, които използват типовия модул ECDSA.

Проблемата е вече отстранена в версиите libgcrypt 1.8.5 и wolfCrypt 4.1.0, останалите проекти все още не са направили актуализации. Можете да проследите корекцията на уязвимостта в пакета libgcrypt в дистрибуциите на тези страници: Debian, Ubuntu, RHEL, Fedora, openSUSE/SUSE, FreeBSD, Arch.

Уязвимости не са податливи OpenSSL, Botan, mbedTLS и BoringSSL. Все още не са тествани Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL в режим FIPS, Microsoft .NET crypto,
libkcapi от ядрото на Linux, Sodium и GnuTLS.

Проблемата е причинена от възможността за определяне на стойностите на отделни битове по време на изпълнението на умножение на скалар при операции с елиптична крива. За извличане на информация за битовете се използват косвени методи, като оценка на забавянето при изпълнението на изчисленията. За атаката е необходимо наличието на непривилегирован достъп до хоста, на който се генерира цифровият подпис (не се изключва и отдалечена атака, но тя е силно усложнена и изисква голям обем от данни за анализ, следователно може да се счита за малко вероятна). За зареждане е наличен използвания инструментариум за атака.

Въпреки малкия размер на теча, за ECDSA определянето е достатъчно дори и само с няколко бита информация за инициализационния вектор (nonce), за да се извърши атака с последователно възстановяване на целия частен ключ. Според авторите на метода, за успешното възстановяване на ключа е необходимо да се анализират от стотици до хиляди цифрови подписи, генерирани за известни на атакуващия съобщения. Например, за определяне на частния ключ, използван в смарт-картата Athena IDProtect, базирана на чипа Inside Secure AT90SC, при използването на елиптична крива secp256r1, са били анализирани 11 хиляди цифрови подписи. Общото време на атаката е било 30 минути.

Източник: opennet.ru