{"id":115101,"date":"2024-04-16T14:30:16","date_gmt":"2024-04-16T12:30:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-putty-pozvolyayushhaya-vosstanovit-zakrytyj-klyuch-polzovatelya"},"modified":"2024-04-16T14:30:16","modified_gmt":"2024-04-16T12:30:16","slug":"uyazvimost-v-putty-pozvolyayushhaya-vosstanovit-zakrytyj-klyuch-polzovatelya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-putty-pozvolyayushhaya-vosstanovit-zakrytyj-klyuch-polzovatelya","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans PuTTY permettant de r\u00e9cup\u00e9rer la cl\u00e9 priv\u00e9e de l'utilisateur","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans PuTTY, un client du protocole SSH populaire sur la plateforme Windows, une vuln\u00e9rabilit\u00e9 critique a \u00e9t\u00e9 identifi\u00e9e (CVE-2024-31497), permettant de recr\u00e9er la cl\u00e9 priv\u00e9e d'un utilisateur g\u00e9n\u00e9r\u00e9e en utilisant l'algorithme ECDSA avec la courbe elliptique NIST P-521 (ecdsa-sha2-nistp521). Pour deviner la cl\u00e9 priv\u00e9e, il suffit d'analyser environ 60 signatures num\u00e9riques form\u00e9es avec la cl\u00e9 probl\u00e9matique. <\/p>\n
La vuln\u00e9rabilit\u00e9 appara\u00eet \u00e0 partir de la version PuTTY 0.68 et a \u00e9galement touch\u00e9 des produits int\u00e9grant des versions vuln\u00e9rables de PuTTY, tels que FileZilla (3.24.1 \u2014 3.66.5), WinSCP (5.9.5 \u2014 6.3.2), TortoiseGit (2.4.0.2 \u2014 2.15.0) et TortoiseSVN (1.10.0 \u2014 1.14.6). Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans les mises \u00e0 jour PuTTY 0.81, FileZilla 3.67.0, WinSCP 6.3.3 et TortoiseGit 2.15.0.1. Apr\u00e8s l'installation de la mise \u00e0 jour, il est recommand\u00e9 aux utilisateurs de g\u00e9n\u00e9rer de nouvelles cl\u00e9s et de supprimer les anciennes cl\u00e9s publiques des fichiers authorized_keys. <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par la n\u00e9gligence des d\u00e9veloppeurs, qui ont utilis\u00e9 un vecteur d'initialisation (nonce) bas\u00e9 sur une s\u00e9quence al\u00e9atoire de 512 bits pour g\u00e9n\u00e9rer une cl\u00e9 de 521 bits, pensant probablement que l'entropie de 512 bits serait suffisante et que les 9 bits restants n'avaient pas d'importance. En cons\u00e9quence, dans toutes les cl\u00e9s priv\u00e9es cr\u00e9\u00e9es dans PuTTY en utilisant l'algorithme ecdsa-sha2-nistp521, les 9 premiers bits du vecteur d'initialisation prenaient toujours des valeurs nulles. <\/p>\n
Pour l'ECDSA et la DSA, la qualit\u00e9 du g\u00e9n\u00e9rateur de nombres pseudo-al\u00e9atoires et la couverture compl\u00e8te des donn\u00e9es al\u00e9atoires du param\u00e8tre utilis\u00e9 lors du calcul du module sont cruciales, car d\u00e9terminer m\u00eame quelques bits contenant des informations sur le vecteur d'initialisation est suffisant pour mener une attaque de r\u00e9cup\u00e9ration s\u00e9quentielle de l'ensemble de la cl\u00e9 priv\u00e9e. Pour r\u00e9ussir la r\u00e9cup\u00e9ration de la cl\u00e9, il suffit de disposer de la cl\u00e9 publique et d'analyser quelques dizaines de signatures num\u00e9riques g\u00e9n\u00e9r\u00e9es \u00e0 l'aide de la cl\u00e9 probl\u00e9matique avec des donn\u00e9es connues de l'attaquant. L'attaque se r\u00e9sume \u00e0 r\u00e9soudre le probl\u00e8me HNP (Hidden Number Problem). <\/p>\n
Les signatures num\u00e9riques n\u00e9cessaires peuvent \u00eatre obtenues, par exemple, en connectant un utilisateur \u00e0 un serveur SSH de l'attaquant ou \u00e0 un serveur Git utilisant SSH comme transport. Les signatures n\u00e9cessaires \u00e0 l'attaque peuvent \u00e9galement \u00eatre r\u00e9v\u00e9l\u00e9es si la cl\u00e9 a \u00e9t\u00e9 utilis\u00e9e pour signer des donn\u00e9es arbitraires, comme les commits git lors de l'utilisation de l'agent SSH Pageant pour rediriger le trafic vers l'h\u00f4te du d\u00e9veloppeur. Il est exclu d'obtenir les donn\u00e9es n\u00e9cessaires \u00e0 la r\u00e9cup\u00e9ration de la cl\u00e9 au cours d'une attaque MITM, car les signatures SSH ne sont pas transmises en clair. <\/p>\n
Il est not\u00e9 qu'une utilisation similaire d'initial vectors incomplets a \u00e9t\u00e9 appliqu\u00e9e dans PuTTY et pour d'autres types de courbes elliptiques, mais pour des algorithmes autres que ECDSA P-521, les fuites d'information ne sont pas suffisantes pour r\u00e9aliser une attaque r\u00e9ussie de r\u00e9cup\u00e9ration de cl\u00e9. Les cl\u00e9s ECDSA d'autres tailles et les cl\u00e9s Ed25519 ne sont pas vuln\u00e9rables \u00e0 l'attaque. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"