Pesquisadores da Universidade Masaryk informações sobre em várias implementações do algoritmo de assinatura digital ECDSA/EdDSA, que permitem recuperar o valor da chave privada com base na análise de vazamentos de informações sobre bits individuais que surgem ao aplicar métodos de análise por canais laterais. As vulnerabilidades receberam o nome de Minerva.
Os projetos mais conhecidos afetados pelo método de ataque proposto são OpenJDK/OracleJDK (CVE-2019-2894) e a biblioteca (CVE-2019-13627), utilizada no GnuPG. O problema também afeta , , , , , , , , e os cartões inteligentes Athena IDProtect. Não testados, mas potencialmente vulneráveis também são os cartões Valid S/A IDflex V, SafeNet eToken 4300 e TecSec Armored Card, que utilizam módulos padrão de ECDSA.
O problema já foi resolvido nas versões libgcrypt 1.8.5 e wolfCrypt 4.1.0, enquanto os outros projetos ainda não lançaram atualizações. É possível acompanhar a correção da vulnerabilidade no pacote libgcrypt em distribuições nas seguintes páginas: , , , , , , .
Vulnerabilidades OpenSSL, Botan, mbedTLS e BoringSSL. Não foram testados ainda Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL em modo FIPS, Microsoft .NET crypto,
libkcapi do núcleo Linux, Sodium e GnuTLS.
O problema é causado pela possibilidade de determinar os valores de bits individuais durante a multiplicação escalar em operações com curvas elípticas. Para extrair informações sobre os bits, métodos indiretos são utilizados, como a avaliação da latência durante os cálculos. Para a ataque, é necessário ter acesso não privilegiado ao host onde a geração da assinatura digital é feita (não um ataque remoto, mas isso é significativamente mais complicado e requer um grande volume de dados para análise, portanto pode ser considerado improvável). Para carregar o kit de ferramentas utilizado para o ataque.
Apesar do pequeno tamanho da vazamento, para a ECDSA, definir até mesmo alguns bits de informação sobre o vetor de inicialização (nonce) é suficiente para realizar um ataque de recuperação sequencial de toda a chave privada. Segundo os autores do método, a análise de algumas centenas a milhares de assinaturas digitais geradas para mensagens conhecidas pelo atacante é suficiente para a recuperação bem-sucedida da chave. Por exemplo, para determinar a chave privada usada no cartão inteligente Athena IDProtect baseado no chip Inside Secure AT90SC, analisaram-se 11 mil assinaturas digitais ao usar a curva elíptica secp256r1. O tempo total do ataque foi de 30 minutos.
Fonte: opennet.ru
