تکنیک جدید حمله به کانال جانبی برای بازیابی کلیدهای ECDSA

محققان دانشگاه ماساریک بدون پوشش اطلاعاتی درباره آسیب پذیری ها در پیاده سازی های مختلف الگوریتم ایجاد امضای دیجیتال ECDSA/EdDSA، که به شما امکان می دهد ارزش یک کلید خصوصی را بر اساس تجزیه و تحلیل نشت اطلاعات در مورد بیت های فردی که هنگام استفاده از روش های تجزیه و تحلیل شخص ثالث ظاهر می شود، بازیابی کنید. این آسیب پذیری ها با اسم رمز Minerva بودند.

شناخته شده ترین پروژه هایی که تحت تأثیر روش حمله پیشنهادی قرار می گیرند OpenJDK/OracleJDK (CVE-2019-2894) و کتابخانه هستند. لیگگریپت (CVE-2019-13627) مورد استفاده در GnuPG. همچنین مستعد مشکل است MatrixSSL, رمزنگاری ++, wolfCrypt, بیضوی, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc و کارت های هوشمند آتنا IDProtect. تست نشده است، اما کارت‌های معتبر S/A IDflex V، SafeNet eToken 4300 و TecSec Armored Card که از یک ماژول استاندارد ECDSA استفاده می‌کنند، به‌عنوان بالقوه آسیب‌پذیر اعلام شده‌اند.

این مشکل قبلاً در نسخه‌های libgcrypt 1.8.5 و wolfCrypt 4.1.0 رفع شده است، پروژه‌های باقی‌مانده هنوز به‌روزرسانی ایجاد نکرده‌اند. می‌توانید رفع آسیب‌پذیری در بسته libgcrypt را در توزیع‌های این صفحات دنبال کنید: دبیان, اوبونتو, ریل, کلاه نمدی مردانه, openSUSE / SUSE, FreeBSD, قوس.

آسیب پذیری ها مستعد نیست OpenSSL، Botan، mbedTLS و BoringSSL. هنوز تست نشده Mozilla NSS، LibreSSL، Nettle، BearSSL، cryptlib، OpenSSL در حالت FIPS، مایکروسافت .NET crypto،
libkcapi از هسته لینوکس، سدیم و GnuTLS.

مشکل به دلیل توانایی تعیین مقادیر تک تک بیت ها در طی ضرب اسکالر در عملیات منحنی بیضی ایجاد می شود. برای استخراج اطلاعات بیت از روش های غیرمستقیم مانند تخمین تاخیر محاسباتی استفاده می شود. یک حمله مستلزم دسترسی غیرمجاز به میزبانی است که امضای دیجیتال روی آن تولید شده است (نه مستثنی شده است و یک حمله از راه دور، اما بسیار پیچیده است و برای تجزیه و تحلیل به حجم زیادی داده نیاز دارد، بنابراین می توان آن را بعید دانست). برای بارگیری در دسترس ابزار مورد استفاده برای حمله

علیرغم اندازه ناچیز نشت، برای ECDSA شناسایی حتی چند بیت با اطلاعات مربوط به بردار اولیه (غیر) برای انجام یک حمله برای بازیابی متوالی کل کلید خصوصی کافی است. به گفته نویسندگان این روش، برای بازیابی موفقیت آمیز یک کلید، تجزیه و تحلیل چند صد تا چند هزار امضای دیجیتال تولید شده برای پیام های شناخته شده برای مهاجم کافی است. به عنوان مثال، 90 هزار امضای دیجیتال با استفاده از منحنی بیضوی secp256r1 برای تعیین کلید خصوصی مورد استفاده در کارت هوشمند Athena IDProtect بر اساس تراشه Inside Secure AT11SC مورد تجزیه و تحلیل قرار گرفت. کل زمان حمله 30 دقیقه بود.

منبع: opennet.ru