Nova tehnika napada putem vanjskih kanala, koja omogućuje oporavak ECDSA ključeva

Istraživači sa sveučilišta Masaryk otkrili su informacije o ranjivostima u različitim implementacijama algoritma za generiranje digitalnog potpisa ECDSA/EdDSA, koji omogućuju ponovno dobivanje privatnog ključa na temelju analize curenja informacija o pojedinim bitovima, koja se pojavljuju tijekom primjene metoda analize kroz alternativne kanale. Ranjivosti su kodno ime Minerva.

Najpoznatiji projekti koje zahvaća predložena metoda napada su OpenJDK/OracleJDK (CVE-2019-2894) i knjižnica Libgcrypt (CVE-2019-13627), korištena u GnuPG. Problem također pogađa MatrixSSL, Crypto++, wolfCrypt, eliptične, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc i pametne kartice Athena IDProtect. Još nisu testirane, ali su kao potencijalno ranjive navedene i kartice Valid S/A IDflex V, SafeNet eToken 4300 i TecSec Armored Card, koje koriste standardni modul ECDSA.

Problem je već otklonjen u izdanjima libgcrypt 1.8.5 i wolfCrypt 4.1.0, a ostali projekti još nisu izradili ažuriranja. Praćenje ispravka ranjivosti u paketu libgcrypt u distribucijama može se pratiti na ovim stranicama: Debian, Ubuntu, RHEL, Fedora, openSUSE/SUSE, FreeBSD, Arch.

Ranjivosti tim problemom, OpenSSL, Botan, mbedTLS i BoringSSL. Još nisu testirani Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL u FIPS modu, Microsoft .NET crypto,
libkcapi iz jezgre Linuxa, Sodium i GnuTLS.

Problem je uzrokovan mogućnošću određivanja vrijednosti pojedinih bitova tijekom izvođenja množenja sa skalarom prilikom operacija s eliptičnom krivuljom. Za iznošenje informacija o bitovima koriste se indirektne metode, kao što je procjena kašnjenja tijekom izvođenja izračuna. Za napad je potrebno imati neprivilegirani pristup hostu na kojem se generira digitalni potpis (ne isključuje i daljinski napad, ali je to značajno otežano i zahtijeva velike količine podataka za analizu, stoga se može smatrati malo vjerojatnim). Za preuzimanje dostupan alati korišteni za napad.

Iako je curenje podataka malih razmjera, za ECDSA je dovoljno otkriti nekoliko bitova informacije o vektoru inicijalizacije (nonce) kako bi se izvršio napad na sekvencijalno obnavljanje cijelog tajnog ključa. Prema tvrdnjama autora metode, za uspješno obnavljanje ključa potrebno je analizirati od nekoliko stotina do nekoliko tisuća digitalnih potpisa generiranih za poruke poznate napadaču. Na primjer, za otkrivanje tajnog ključa koji se koristi na pametnoj kartici Athena IDProtect temeljenoj na čipu Inside Secure AT90SC, analizirano je 11 tisuća digitalnih potpisa koristeći eliptičku krivulju secp256r1. Ukupno vrijeme napada iznosilo je 30 minuta.

Izvor: opennet.ru