Nieuwe aanvalstechniek via externe kanalen die het mogelijk maakt om ECDSA-sleutels te herstellen

Onderzoekers van de Masaryk Universiteit hebben onthuld informatie over kwetsbaarheden in verschillende implementaties van het ECDSA/EdDSA digitale handtekeningalgoritme, die het mogelijk maken om de waarde van de privé-sleutel te herstellen op basis van de analyse van lekken van informatie over individuele bits die opduiken tijdens de toepassing van analyses via zijkanalen. De kwetsbaarheden hebben de codenaam Minerva gekregen.

De bekendste projecten die door de voorgestelde aanvalsmethode worden getroffen, zijn OpenJDK/OracleJDK (CVE-2019-2894) en de bibliotheek Libgcrypt (CVE-2019-13627), gebruikt in GnuPG. Het probleem treft ook MatrixSSL, Crypto++, wolfCrypt, elliptic, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc en de Athena IDProtect smartcards. Kaarten zoals Valid S/A IDflex V, SafeNet eToken 4300 en TecSec Armored Card worden ook als potentieel kwetsbaar beschouwd, hoewel ze niet zijn getest; deze maken gebruik van een standaard ECDSA-module.

Het probleem is al opgelost in de versies libgcrypt 1.8.5 en wolfCrypt 4.1.0, maar andere projecten hebben nog geen updates uitgebracht. U kunt de oplossing van de kwetsbaarheid in het libgcrypt-pakket in distributies volgen op de volgende pagina’s: Debian, Ubuntu, RHEL, Fedora, . Chromium is al bijgewerkt in alle distributies en is niet kwetsbaar, maar het probleem kan verschillende browsers van derden en applicaties die de Chromium-engine gebruiken, evenals Android-applicaties op basis van Webview, beïnvloeden., FreeBSD, Arch.

Kwetsbaarheden zijn niet kwetsbaar OpenSSL, Botan, mbedTLS en BoringSSL. Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL in FIPS-modus, Microsoft .NET crypto,
libkcapi uit de Linux-kernel, Sodium en GnuTLS.

Het probleem wordt veroorzaakt door de mogelijkheid om de waarden van individuele bits te bepalen tijdens het uitvoeren van een vermenigvuldiging met een scalar bij bewerkingen met elliptische krommen. Indirecte methoden zoals het schatten van de vertraging bij het uitvoeren van berekeningen worden gebruikt om informatie over de bits te extraheren. Voor de aanval is niet-geprivilegieerde toegang tot de host vereist waar de digitale handtekening wordt gegenereerd (een afstandsaanval wordt niet uitgesloten, maar deze is veel gecompliceerder en vereist een grote hoeveelheid gegevens voor analyse, waardoor het als onwaarschijnlijk kan worden beschouwd). Voor het downloaden wordt de voor de aanval gebruikte toolkit. beschikbaar is gebruikt voor een aanval toolkit.

Ondanks de geringe omvang van de lek, is het voor ECDSA voldoende om zelfs maar een paar bits van informatie over de initialisatievector (nonce) te hebben om een aanval uit te voeren die het volledige privésleutel herstelt. Volgens de auteurs van de methode is het analyseren van enkele honderden tot enkele duizenden digitale handtekeningen, die zijn gegenereerd voor berichten die aan de aanvaller bekend zijn, voldoende voor een succesvolle sleutelherstel. Bijvoorbeeld, voor het achterhalen van de privésleutel die wordt gebruikt op de Athena IDProtect smartcard met de Inside Secure AT90SC chip, werden 11.000 digitale handtekeningen geanalyseerd bij het gebruik van de elliptische kromme secp256r1. De totale aanvalltijd was 30 minuten.

Bron: opennet.ru