Forskere fra Masaryk Universitet oplysninger om i forskellige implementeringer af algoritmen til oprettelse af digitale signaturer ECDSA/EdDSA, der gør det muligt at genoprette værdien af den private nøgle baseret på analyse af lækager af oplysninger om enkelte bits, der opstår under brug af metoder til analyse via sidekanaler. Sårbarhederne har kodeordet Minerva.
De mest kendte projekter, som den foreslåede angrebsmetode omhandler, er OpenJDK/OracleJDK (CVE-2019-2894) og biblioteket (CVE-2019-13627), der bruges i GnuPG. Problemet berører også , , , , , , , , og smartkortene Athena IDProtect. Ikke testet, men som potentielt sårbare er også nævnt Valid S/A IDflex V-kort, SafeNet eToken 4300 og TecSec Armored Card, som bruger en standard ECDSA-modul.
Problemet er allerede blevet løst i versionerne libgcrypt 1.8.5 og wolfCrypt 4.1.0, de øvrige projekter har endnu ikke udgivet opdateringer. For at følge med i rettelsen af sårbarheden i libgcrypt-pakken i distributionerne kan man se på disse sider: , , , , , , .
Sårbarheder OpenSSL, Botan, mbedTLS og BoringSSL. Der er endnu ikke blevet testet Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL i FIPS-tilstand, Microsoft .NET crypto,
libkcapi fra Linux-kernen, Sodium og GnuTLS.
Problemet skyldes muligheden for at bestemme værdierne af enkelte bits under udførelsen af multiplikation med en skalar ved operationer med elliptiske kurver. For at udtrække oplysninger om bits anvendes indirekte metoder, såsom vurdering af forsinkelsen ved udførelsen af beregninger. For angrebet kræves der ikke-privilegeret adgang til den vært, hvor den digitale signaturgenerering finder sted (ikke og et fjernangreb, men det er betydeligt besværliggjort og kræver et stort datamængde til analyse, så det kan betragtes som usandsynligt). For at downloade det værktøj, der bruges til angrebet.
På trods af den lille størrelse på lækagen er det for ECDSA tilstrækkeligt at bestemme blot nogle få bits af information om initialiseringsvektoren (nonce) for at udføre et angreb ved sekventiel genskabelse af hele den private nøgle. Ifølge forfatterne til metoden er det tilstrækkeligt at analysere fra et par hundrede til et par tusinde digitale underskrifter, der er genereret for kendte beskeder af angriberen, for at genskabe nøgle. For eksempel blev der analyseret 11.000 digitale underskrifter for at bestemme den private nøgle, der blev anvendt på smartkortet Athena IDProtect baseret på Inside Secure AT90SC chippen, ved brug af den elliptiske kurve secp256r1. Den samlede angrebstid var 30 minutter.
Kilde: opennet.ru
