Uus rünnetehnika kolmandate osapoolte kanalite kaudu, mis võimaldab taastada ECDSA võtmeid

Masaryki ülikooli teadlased avalikustas teave haavatavustest eri ECDSA/EdDSA digitaalsete allkirjade loomise algoritmide rakendustes, mis võimaldavad eravõtme väärtuse taastamist, analüüsides individuaalsete bitide kohta lekkinud teavet, mis ilmneb kõrvalkanalite analüüsimeetodite kasutamise ajal. Haavatavused said koodimeheks Minerva.

Tuntuimad projektid, mida pakutud rünnakumeetod mõjutab, on OpenJDK/OracleJDK (CVE-2019-2894) ja teek Libgcrypt (CVE-2019-13627), mida kasutatakse GnuPG-s. Probleem on samuti haavatav MatrixSSL, Crypto++, wolfCrypt, elliptic, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc ja Athena IDProtecti nutikardid. Testimata, kuid potentsiaalselt haavatavana on välja toodud ka Valid S/A IDflex V, SafeNet eToken 4300 ja TecSec Armored Card, mis kasutavad standardset ECDSA moodulit.

Probleem on juba lahendatud libgcrypti 1.8.5 ja wolfCrypti 4.1.0 versioonides, teised projektid pole veel värskendusi välja andnud. Haavatavuse parandamise jälgimiseks libgcrypti paketis distributsioonides saab vaadata neid lehekülgi: Debian, Ubuntu, RHEL, Fedora, openSUSE/SUSE, FreeBSD, Arch.

Haavatavused ei ole haavatavad OpenSSL, Botan, mbedTLS ja BoringSSL. Veel ei ole testitud Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL FIPSi režiimis, Microsoft .NET crypto,
libkcapi Linuxi Kernelist, Sodium ja GnuTLS.

Probleem tuleneb võimalusest määrata üksikute bittide väärtusi skalaari korrutamise ajal elliptilise kõveraga toimingute käigus. Bittide teabe eristamiseks kasutatakse kaudseid meetodeid, nagu arvutuste käigus tekkiva viivituse hindamine. Rünnakuks on vajalik privileegeteta juurdepääs hostile, kus digitaalallkirja genereerimine toimub (ei tohiks välistada ja kaugrünnak, kuid see on oluliselt keerulisem ja nõuab suurt andmemahtu analüüsimiseks, seega võib seda pidada ebatõenäoliseks). Rünnakuks vajalik tarkvara laadimiseks saadaval kasutatud tööriist.

Kuigi lekke suurus on väike, on ECDSA võtme määramiseks piisav isegi vaid mõne biti teavitava algusvektori (nonce) teave, et teostada järjestikune taastamise rünnak kogu privaatvõtme vastu. Meetodi autorite sõnul on võtme eduka taastamise jaoks piisav analüüs paarisaja kuni paarituhande digitaalse allkirja kohta, mis on genereeritud ründajale tuntud sõnumite jaoks. Näiteks Athena IDProtect nutikaardil, mis põhineb Inside Secure AT90SC kiibil ja kasutab elliptilist kõverat secp256r1, analüüsiti salajase võtme määramiseks 11 tuhat digitaalsest allkirjast. Rünnaku kogukestus oli 30 minutit.

Allikas: opennet.ru