Új, harmadik fél csatornáin történő támadási technika, amely lehetővé teszi az ECDSA kulcsok helyreállítását

A Masaryk-i Egyetem kutatói felfedték információk a sebezhetőségekről az ECDSA/EdDSA digitális aláírás létrehozásának különböző megvalósításaiban, amelyek lehetővé teszik a privát kulcs értékének helyreállítását egyes bitek információinak elemzése alapján, amelyek a mellékcsatornás elemzési módszerek alkalmazásakor feltáródnak. A sebezhetőségeket Minerva kódnéven ismerték.

A legjobban ismert projektek, amelyeket a javasolt támadási módszer érint, az OpenJDK/OracleJDK (CVE-2019-2894) és a Libgcrypt (CVE-2019-13627), amelyet a GnuPG használ. A probléma szintén érinti a MatrixSSL, Crypto++, wolfCrypt, elliptikus, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc és az Athena IDProtect okoskártyák. Nem tesztelték, de potenciálisan sebezhetőként érinti őket a Valid S/A IDflex V, SafeNet eToken 4300 és TecSec Armored Card, amelyek ECDSA mintamodult használnak.

A problémát már megoldották a libgcrypt 1.8.5 és wolfCrypt 4.1.0 kiadásokban, a többi projekt még nem készítette el a frissítéseket. A libgcrypt csomag sebezhetőségének javítását a disztribúciókban az alábbi oldalakon lehet nyomon követni: Debian, Ubuntu, RHEL, Fedora, openSUSE/SUSE, FreeBSD, Arch.

Vulnerabilities mivel az Exim nem szerepel a hivatalos csomagrepójában (szükség esetén az OpenSSL, Botan, mbedTLS és BoringSSL. A Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL FIPS üzemmódban, Microsoft .NET kriptográfia,
libkcapi a Linux kerneltől, Sodium és GnuTLS még nem tesztelték.

A probléma a bitek értékeinek meghatározásának lehetőségéből adódik elliptikus görbével történő skáláris szorzás közben. A bitek információinak kiemelésére közvetett módszereket használnak, például a számítások végrehajtásakor tapasztalt késlekedés értékelését. A támadáshoz nem privilegizált hozzáférés szükséges ahhoz a hoszthoz, amelyen a digitális aláírás generálására kerül sor (nem kizárt a távoli támadás, de az jelentősen bonyolultabb és nagy mennyiségű adatot igényel az elemzéshez, ezért valószínűtlennek tekinthető). A támadáshoz használt eszközök letöltésére elérhető számlálózva.

Bár a szivárgás mérete csekély, az ECDSA kulcs teljes helyreállításához elegendő néhány bitnyi információ az inicializáló vektorról (nonce). A módszer szerzői szerint a kulcs sikeres helyreállításához elegendő néhány száz vagy akár több ezer digitális aláírás elemzése, amelyet a támadó által ismert üzenetekhez generáltak. Például, az Athena IDProtect okoskártyán, amely az Inside Secure AT90SC chipre épül, a secp256r1 elliptikus görbét használva 11 ezer digitális aláírást elemeztek a titkos kulcs meghatározásához. A támadás összesített időtartama 30 perc volt.

Forrás: opennet.ru