Vulnérabilité dans PuTTY permettant de récupérer la clé privée de l'utilisateur

Dans PuTTY, un client du protocole SSH populaire sur la plateforme Windows, une vulnérabilité critique a été identifiée (CVE-2024-31497), permettant de recréer la clé privée d'un utilisateur générée en utilisant l'algorithme ECDSA avec la courbe elliptique NIST P-521 (ecdsa-sha2-nistp521). Pour deviner la clé privée, il suffit d'analyser environ 60 signatures numériques formées avec la clé problématique.

La vulnérabilité se manifeste à partir de la version PuTTY 0.68 et a également affecté des produits intégrant des versions vulnérables de PuTTY, comme FileZilla (3.24.1 — 3.66.5), WinSCP (5.9.5 — 6.3.2), TortoiseGit (2.4.0.2 — 2.15.0) et TortoiseSVN (1.10.0 — 1.14.6). Le problème a été corrigé dans les mises à jour de PuTTY 0.81, FileZilla 3.67.0, WinSCP 6.3.3 et TortoiseGit 2.15.0.1. Après l'installation de la mise à jour, il est recommandé aux utilisateurs de générer de nouvelles clés et de supprimer les anciennes clés publiques des fichiers authorized_keys.

La vulnérabilité est causée par la négligence des développeurs, qui ont utilisé un vecteur d'initialisation (nonce) basé sur une séquence aléatoire de 512 bits pour générer une clé de 521 bits, pensant probablement que l'entropie de 512 bits serait suffisante et que les 9 bits restants n'avaient pas d'importance. En conséquence, dans toutes les clés privées créées dans PuTTY en utilisant l'algorithme ecdsa-sha2-nistp521, les 9 premiers bits du vecteur d'initialisation prenaient toujours des valeurs nulles.

Pour l'ECDSA et la DSA, la qualité du générateur de nombres pseudo-aléatoires et la couverture complète des données aléatoires du paramètre utilisé lors du calcul du module sont cruciales, car déterminer même quelques bits contenant des informations sur le vecteur d'initialisation est suffisant pour mener une attaque de récupération séquentielle de l'ensemble de la clé privée. Pour réussir la récupération de la clé, il suffit de disposer de la clé publique et d'analyser quelques dizaines de signatures numériques générées à l'aide de la clé problématique avec des données connues de l'attaquant. L'attaque se résume à résoudre le problème HNP (Hidden Number Problem).

Les signatures numériques nécessaires peuvent être obtenues, par exemple, en connectant un utilisateur à un serveur SSH de l'attaquant ou à un serveur Git utilisant SSH comme transport. Les signatures nécessaires à l'attaque peuvent également être révélées si la clé a été utilisée pour signer des données arbitraires, comme les commits git lors de l'utilisation de l'agent SSH Pageant pour rediriger le trafic vers l'hôte du développeur. Il est exclu d'obtenir les données nécessaires à la récupération de la clé au cours d'une attaque MITM, car les signatures SSH ne sont pas transmises en clair.

Il est noté qu'une utilisation similaire d'initial vectors incomplets a été appliquée dans PuTTY et pour d'autres types de courbes elliptiques, mais pour des algorithmes autres que ECDSA P-521, les fuites d'information ne sont pas suffisantes pour réaliser une attaque réussie de récupération de clé. Les clés ECDSA d'autres tailles et les clés Ed25519 ne sont pas vulnérables à l'attaque.

Source : opennet.ru