I ricercatori dell'università Masaryk informazioni su in diverse implementazioni dell'algoritmo di creazione della firma digitale ECDSA/EdDSA, che consentono di ripristinare il valore della chiave privata sulla base dell'analisi delle perdite di informazioni sui singoli bit, che emergono durante l'uso di metodi di analisi tramite canali esterni. Le vulnerabilità hanno ricevuto il nome in codice Minerva.
I progetti più noti che riguardano il metodo di attacco proposto sono OpenJDK/OracleJDK (CVE-2019-2894) e la libreria (CVE-2019-13627), utilizzata in GnuPG. Anche , , , , , , , , e le smart card Athena IDProtect. Non testate, ma dichiarate potenzialmente vulnerabili anche le schede Valid S/A IDflex V, SafeNet eToken 4300 e TecSec Armored Card, che utilizzano un modulo ECDSA standard.
Il problema è già stato risolto nelle versioni libgcrypt 1.8.5 e wolfCrypt 4.1.0, mentre gli altri progetti non hanno ancora rilasciato aggiornamenti. È possibile tenere traccia della correzione della vulnerabilità nel pacchetto libgcrypt nelle distribuzioni su queste pagine: , , , , , , .
Vulnerabilità OpenSSL, Botan, mbedTLS e BoringSSL. Non sono state ancora testate Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL in modalità FIPS, Microsoft .NET crypto,
libkcapi dal kernel Linux, Sodium e GnuTLS.
Il problema è causato dalla possibilità di determinare i valori dei singoli bit durante l'esecuzione della moltiplicazione per uno scalare operando con curve ellittiche. Per estrarre informazioni sui bit, vengono utilizzati metodi indiretti, come la valutazione del ritardo nell'esecuzione dei calcoli. Per l'attacco è necessario avere accesso non privilegiato all'host su cui viene generata la firma digitale (non un attacco remoto, ma è notevolmente complicato e richiede un grande volume di dati per l'analisi, pertanto può essere considerato come poco probabile). Per scaricare gli strumenti utilizzati per l'attacco.
Nonostante le ridotte dimensioni della perdita, per l'ECDSA è sufficiente determinare anche solo alcuni bit con informazioni sul vettore di inizializzazione (nonce) per eseguire un attacco di recupero sequenziale dell'intera chiave privata. Secondo gli autori del metodo, per un recupero riuscito della chiave è sufficiente analizzare da alcune centinaia a diverse migliaia di firme digitali generati per messaggi noti all'attaccante. Ad esempio, per determinare la chiave privata utilizzata nella smart card Athena IDProtect basata sul chip Inside Secure AT90SC, utilizzando la curva ellittica secp256r1, sono state analizzate 11.000 firme digitali. Il tempo complessivo dell'attacco è stato di 30 minuti.
Fonte: opennet.ru
