Нова техника за атака чрез странични канали, позволяваща възстановяване на ключове ECDSA

Изследователи от университета Масарик разкриха информация за уязвимостите в различни реализации на алгоритмите за създаване на цифров подпис ECDSA/EdDSA, които позволяват възстановяване на стойността на частния ключ на базата на анализа на изтичания на информация за отделни битове, появяващи се при прилагане на методи за анализ през странични канали. Уязвимостите получиха кодово име Minerva.

Най-известните проекти, които засяга предложеното метод на атака, са OpenJDK/OracleJDK (CVE-2019-2894) и библиотеката Libgcrypt (CVE-2019-13627), използвана в GnuPG. Проблемът засяга също MatrixSSL, Crypto++, wolfCrypt, елиптични, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc и смарт-картите Athena IDProtect. Не са тествани, но като потенциално уязвими са посочени и картите Valid S/A IDflex V, SafeNet eToken 4300 и TecSec Armored Card, които използват стандартния модул ECDSA.

Проблемът вече е отстранен в версиите libgcrypt 1.8.5 и wolfCrypt 4.1.0, останалите проекти все още не са издали актуализации. Може да се следи за разрешаването на уязвимостта в пакета libgcrypt в дистрибуциите на следните страници: Debian, Ubuntu, RHEL, Fedora, openSUSE/SUSE, FreeBSD, Arch.

Уязвимостите не са засегнати OpenSSL, Botan, mbedTLS и BoringSSL. Все още не са тествани Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL в режим FIPS, Microsoft .NET crypto,
libkcapi от ядрото на Linux, Sodium и GnuTLS.

Проблемът е причинен от възможността за определяне на стойностите на отделни битове по време на умножение на скалар при операции с елиптична крива. За извличане на информация за битовете се използват косвени методи, като оценка на забавянето при извършване на изчисления. За атака е необходимо да има непривилегирован достъп до хоста, на който се извършва генерирането на цифровия подпис (не изключва и дистанционна атака, но тя е значително усложнена и изисква голям обем данни за анализ, затова може да се счита за малко вероятна). За зареждане е наличен използвания инструментариум за атака.

Въпреки незначителния размер на теча, за ECDSA е достатъчно дори няколко бита информация за вектора на инициализация (nonce), за да се извърши атака чрез последователно възстановяване на целия частен ключ. Според авторите на метода, за успешно възстановяване на ключа е достатъчен анализ на от няколко стотин до няколко хиляди цифрови подписа, генерирани за известни на атакуващия съобщения. Например, за определяне на частния ключ, използван в смарт-картата Athena IDProtect на базата на чипа Inside Secure AT90SC, при използване на елиптичната крива secp256r1 бяха анализирани 11 хиляди цифрови подписа. Общо времето за атака беше 30 минути.

Източник: opennet.ru