Një teknikë e re sulmi për kanale anësore, e cila lejon rikuperimin e çelësave ECDSA

Hulumtuesit nga Universiteti Masarikut zbuluan të dhëna për dobësi në realizime të ndryshme të algoritmit për krijimin e nënshkrimit digjital ECDSA/EdDSA, duke lejuar rikuperimin e vlerës së çelësit privat në bazë të analizës së rrjedhjeve të të dhënave për bitet e veçanta që shfaqen gjatë përdorimit të metodave të analizës për kanale anësore. Dobësitë morën emrin kodor Minerva.

Projektet më të njohura që preken nga metoda e sugjeruar e sulmit janë OpenJDK/OracleJDK (CVE-2019-2894) dhe biblioteka Libgcrypt (CVE-2019-13627), e përdorur në GnuPG. Problemi është i ndjeshëm gjithashtu për MatrixSSL, Crypto++, wolfCrypt, elliptic, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc dhe kartat inteligjente Athena IDProtect. Nuk janë testuar, por si potencialisht të ndjeshëm janë gjithashtu deklaruar kartat Valid S/A IDflex V, SafeNet eToken 4300 dhe TecSec Armored Card, të cilat përdorin modul ECDSA standard.

Problemi tashmë është zgjidhur në versionet libgcrypt 1.8.5 dhe wolfCrypt 4.1.0, projektet e tjera ende nuk kanë formuar përditësime. Mund të ndiqni zgjidhjen e dobësisë në paketën libgcrypt në distribuimet në këto faqe: Debian, Ubuntu, RHEL, Fedora, openSUSE/SUSE, FreeBSD, Arch.

Dobësitë të ndjeshëm ndaj problemit OpenSSL, Botan, mbedTLS dhe BoringSSL. Ende nuk janë testuar Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL në modalitetin FIPS, Microsoft .NET crypto,
libkcapi nga bërthama Linux, Sodium dhe GnuTLS.

Problemi shkaktohet nga mundësia e përcaktimit të vlerave të bitëve të veçantë gjatë shumimit me një skalar në operacione me kurba eliptike. Për të nxjerrë informacionin mbi bitët përdoren metoda të tërthorta, si vlerësimi i vonesës gjatë realizimit të llogaritjeve. Për sulmin kërkohet akses i pa privilegjuar në hostin ku realizohet gjenerimi i nënshkrimit digjital (nuk shk exclusion as sulmi në distancë, por është shumë i komplikuar dhe kërkon një volum të madh të dhënash për analizë, prandaj mund të mendohet si i pamundur). Për të shkarkuar është në dispozicion mjetet e përdorura për sulmin.

Megjithëse ndjeshmëria e rrjedhjes është e vogël, për definimin e ECDSA-së, disa bitë me informacion rreth vektorit të inicializimit (nonce) janë të mjaftueshme për të kryer një sulm të rimëkëmbjes se çelësit sekret. Sipas autorëve të metodës, për të rikuperuar me sukses çelësin, mjafton analiza e disa qindra deri në disa mijëra nënshkrimesh digjitale, të gjeneruara për mesazhe të njohura për sulmuesin. Për shembull, për të gjetur çelësin e fshehtë të përdorur në kartën e mençur Athena IDProtect mbi bazën e çipit Inside Secure AT90SC, duke përdorur kurbën eliptike secp256r1, u analizuan 11 mijë nënshkrime digjitale. Koha totale e sulmit ishte 30 minuta.

Burimi: opennet.ru