Výzkumníci z univerzity J. Masaryka informace o v různých implementacích algoritmu pro vytváření digitálního podpisu ECDSA/EdDSA, které umožňují obnovit hodnotu soukromého klíče na základě analýzy úniků informací o jednotlivých bitech, jež se objevují při použití metod analýzy prostřednictvím postranních kanálů. Zranitelnosti dostaly kódové jméno Minerva.
Nejznámějšími projekty, které se dotýká navrhovaná metoda útoku, jsou OpenJDK/OracleJDK (CVE-2019-2894) a knihovna (CVE-2019-13627), která se používá v GnuPG. Problému také podléhají , , , , , , , , a smart karty Athena IDProtect. Nebyly testovány, ale jako potenciálně zranitelné byly také uvedeny karty Valid S/A IDflex V, SafeNet eToken 4300 a TecSec Armored Card, které používají standardní modul ECDSA.
Problém již byl vyřešen ve verzích libgcrypt 1.8.5 a wolfCrypt 4.1.0, ostatní projekty zatím nevydaly aktualizace. Sledovat opravu zranitelnosti v balíčku libgcrypt v distribucích lze na těchto stránkách: , , , , , , .
Zranitelnosti OpenSSL, Botan, mbedTLS a BoringSSL. Ještě nebyly testovány Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL v režimu FIPS, Microsoft .NET crypto,
libkcapi z jádra Linuxu, Sodium a GnuTLS.
Problém je způsoben možností určování hodnot jednotlivých bitů během provádění násobení skalárem při operacích s elliptickou křivkou. Pro zjišťování informací o bitech se používají nepřímé metody, jako je hodnocení latence při provádění výpočtů. Pro útok je nutný nediskriminační přístup k hostiteli, na kterém se provádí generace digitálního podpisu (ne a vzdálený útok, ale ten je výrazně ztížen a vyžaduje velké množství dat k analýze, a proto může být považován za málo pravděpodobný). Pro stažení nástroje použité pro útok.
I když je únik dat relativně malý, pro ECDSA stačí k provedení útoku na sekvenční obnovu celého soukromého klíče určit několik bitů s informacemi o inicializačním vektoru (nonce). Podle tvrzení autorů metody je k úspěšnému obnovení klíče potřeba analyzovat několik stovek až několik tisíc digitálních podpisů generovaných pro útočníkovi známé zprávy. Například pro určení soukromého klíče používaného na smart kartě Athena IDProtect s čipem Inside Secure AT90SC, při použití eliptické křivky secp256r1 bylo analyzováno 11 tisíc digitálních podpisů. Celkový čas útoku činil 30 minut.
Zdroj: opennet.ru
