ईसीडीएसए कुंजी पुनर्प्राप्त करने के लिए नई साइड चैनल आक्रमण तकनीक

विश्वविद्यालय के शोधकर्ता। मासारिक खुला के बारे में जानकारी कमजोरियों ECDSA/EdDSA डिजिटल हस्ताक्षर निर्माण एल्गोरिदम के विभिन्न कार्यान्वयन में, जो आपको तृतीय-पक्ष विश्लेषण विधियों का उपयोग करते समय उभरने वाली व्यक्तिगत बिट्स के बारे में जानकारी के लीक के विश्लेषण के आधार पर एक निजी कुंजी के मूल्य को पुनर्स्थापित करने की अनुमति देता है। कमजोरियों को मिनर्वा नाम दिया गया था।

सबसे प्रसिद्ध परियोजनाएँ जो प्रस्तावित हमले की विधि से प्रभावित हैं, वे हैं OpenJDK/OracleJDK (CVE-2019-2894) और लाइब्रेरी लिबरक्रिप्ट (CVE-2019-13627) GnuPG में उपयोग किया जाता है। समस्या के प्रति भी संवेदनशील मैट्रिक्सएसएसएल, क्रिप्टो ++, wolfCrypt, अण्डाकार, jsrssign, पायथन-ईसीडीएसए, रूबी_ईसीडीएसए, fastecdsa, आसान-ईसीसी और एथेना आईडीप्रोटेक्ट स्मार्ट कार्ड। परीक्षण नहीं किया गया है, लेकिन वैध एस/ए आईडीफ्लेक्स वी, सेफनेट ईटोकन 4300 और टेकसेक आर्मर्ड कार्ड कार्ड, जो एक मानक ईसीडीएसए मॉड्यूल का उपयोग करते हैं, को भी संभावित रूप से असुरक्षित घोषित किया गया है।

समस्या को libgcrypt 1.8.5 और wolfCrypt 4.1.0 के रिलीज़ में पहले ही ठीक कर दिया गया है, शेष परियोजनाओं ने अभी तक अपडेट उत्पन्न नहीं किया है। आप इन पृष्ठों पर वितरण में libgcrypt पैकेज में भेद्यता के समाधान को ट्रैक कर सकते हैं: डेबियन, Ubuntu, RHEL, फेडोरा, openSUSE / SUSE, FreeBSD, मेहराब.

कमजोरियों अतिसंवेदनशील नहीं ओपनएसएसएल, बोटन, एमबीडीटीएलएस और बोरिंगएसएसएल। अभी तक मोज़िला एनएसएस, लिब्रेएसएसएल, नेटल, बियरएसएसएल, क्रिप्टलिब, ओपनएसएसएल का एफआईपीएस मोड में परीक्षण नहीं किया गया है, माइक्रोसॉफ्ट .NET क्रिप्टो,
लिनक्स कर्नेल, सोडियम और GnuTLS से libkcapi।

समस्या अण्डाकार वक्र संचालन में अदिश गुणन के दौरान व्यक्तिगत बिट्स के मूल्यों को निर्धारित करने की क्षमता के कारण होती है। अप्रत्यक्ष तरीकों, जैसे कम्प्यूटेशनल देरी का आकलन, का उपयोग बिट जानकारी निकालने के लिए किया जाता है। किसी हमले के लिए उस होस्ट तक विशेषाधिकार रहित पहुंच की आवश्यकता होती है जिस पर डिजिटल हस्ताक्षर उत्पन्न होता है (नहीं)। छोड़ा गया और एक दूरस्थ हमला, लेकिन यह बहुत जटिल है और विश्लेषण के लिए बड़ी मात्रा में डेटा की आवश्यकता होती है, इसलिए इसे असंभावित माना जा सकता है)। लोडिंग के लिए उपलब्ध है हमले के लिए प्रयुक्त उपकरण.

रिसाव के नगण्य आकार के बावजूद, ईसीडीएसए के लिए आरंभीकरण वेक्टर (नॉन) के बारे में जानकारी के साथ कुछ बिट्स का पता लगाना भी संपूर्ण निजी कुंजी को क्रमिक रूप से पुनर्प्राप्त करने के लिए एक हमले को अंजाम देने के लिए पर्याप्त है। विधि के लेखकों के अनुसार, किसी कुंजी को सफलतापूर्वक पुनर्प्राप्त करने के लिए, हमलावर को ज्ञात संदेशों के लिए उत्पन्न कई सौ से कई हजार डिजिटल हस्ताक्षरों का विश्लेषण पर्याप्त है। उदाहरण के लिए, इनसाइड सिक्योर AT90SC चिप के आधार पर एथेना आईडीप्रोटेक्ट स्मार्ट कार्ड पर उपयोग की जाने वाली निजी कुंजी को निर्धारित करने के लिए secp256r1 अण्डाकार वक्र का उपयोग करके 11 हजार डिजिटल हस्ताक्षरों का विश्लेषण किया गया था। हमले का कुल समय 30 मिनट था।

स्रोत: opennet.ru