ECDSA gakoak berreskuratzeko Alboko Kanalaren Eraso Teknika berria

Unibertsitateko ikertzaileak. Masaryk estali gabe buruzko informazioa ahultasunak ECDSA/EdDSA sinadura digitala sortzeko algoritmoaren hainbat inplementaziotan, gako pribatu baten balioa berreskuratzeko aukera ematen duena, hirugarrenen analisi-metodoak erabiltzean sortzen diren bit indibidualei buruzko informazio ihesen azterketan oinarrituta. Ahuleziek Minerva izena zuten.

Proposatutako eraso metodoaren eraginpean dauden proiektu ezagunenak OpenJDK/OracleJDK (CVE-2019-2894) eta liburutegia dira. libgcrypt (CVE-2019-13627) GnuPG-en erabiltzen da. Era berean, arazoa jasan dezakete MatrixSSL, Crypto++, wolfCrypt, eliptikoa, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, erraz-ecc eta Athena IDProtect txartel adimendunak. Ez da probatu, baina Valid S/A IDflex V, SafeNet eToken 4300 eta TecSec Armored Card txartelak, ECDSA modulu estandarra erabiltzen dutenak, potentzialki zaurgarri gisa deklaratzen dira.

Arazoa jada konpondu da libgcrypt 1.8.5 eta wolfCrypt 4.1.0 bertsioetan, gainerako proiektuek ez dute oraindik eguneraketarik sortu. Ahuleziaren konponketaren jarraipena egin dezakezu libgcrypt paketearen banaketa orri hauetan: Debian, Ubuntu, RHEL, Fedora, openSUSE / SUSE, FreeBSD, Arku.

Ahultasunak ez gaia OpenSSL, Botan, mbedTLS eta BoringSSL. Oraindik probatu gabe Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL FIPS moduan, Microsoft .NET crypto,
Linux kerneletik libkcapi, Sodium eta GnuTLS.

Arazoa kurba eliptikoko eragiketetan biderketa eskalarrean bit indibidualen balioak zehazteko gaitasunak eragiten du. Zeharkako metodoak, hala nola, atzerapen konputazionala kalkulatzea, biten informazioa ateratzeko erabiltzen dira. Eraso batek sinadura digitala sortzen den ostalarirako pribilegiorik gabeko sarbidea behar du (ez baztertuta eta urrutiko eraso bat, baina oso konplikatua da eta datu kopuru handia behar du aztertzeko, beraz, nekez har daiteke). Kargatzeko eskuragarri erasorako erabilitako tresnak.

Ihesaren tamaina txikia izan arren, ECDSArentzat hasierako bektoreari buruzko informazioarekin (nonce) bit batzuk ere detektatzea nahikoa da eraso bat egiteko gako pribatu osoa sekuentzialki berreskuratzeko. Metodoaren egileen arabera, gako bat arrakastaz berreskuratzeko, nahikoa da erasotzaileak ezagutzen dituen mezuetarako sortutako ehunka eta milaka sinadura digitalen azterketa. Esaterako, 90 mila sinadura digital aztertu ziren secp256r1 kurba eliptikoa erabiliz Athena IDProtect txartel adimendunean Inside Secure AT11SC txipan oinarritutako gako pribatua zehazteko. Erasoko denbora guztira 30 minutukoa izan zen.

Iturria: opennet.ru