Ny attackmetodik via sidokanaler som möjliggör återställning av ECDSA-nycklar

Forskare från Masaryk-universitetet koden information om sårbarheter i olika implementationer av algoritmen för skapande av digitala signaturer ECDSA/EdDSA, vilket möjliggör återställning av privata nyckelvärden baserat på analys av läckor av information om enskilda bitar som uppstår vid användning av metoder för analys via sidokanaler. Sårbarheterna har kodnamnet Minerva.

De mest kända projekten som påverkas av den föreslagna attackmetoden är OpenJDK/OracleJDK (CVE-2019-2894) och biblioteket Libgcrypt (CVE-2019-13627), som används i GnuPG. Problemet drabbar även MatrixSSL, Crypto++, wolfCrypt, elliptisk, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, easy-ecc och smartkortet Athena IDProtect. Även om de ännu inte har testats, har korten Valid S/A IDflex V, SafeNet eToken 4300 och TecSec Armored Card angivits som potentiellt sårbara, som använder en standard ECDSA-modul.

Problemet har redan åtgärdats i versioner av libgcrypt 1.8.5 och wolfCrypt 4.1.0, medan övriga projekt ännu inte har släppt uppdateringar. Uppföljning av sårbarhetsfixar i libgcrypt-paketet inom distributioner kan göras på dessa sidor: Debian, Ubuntu, RHEL, Fedora, openSUSE/SUSE, FreeBSD, Arch.

Sårbarheter påverkade OpenSSL, Botan, mbedTLS och BoringSSL. Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL i FIPS-läge, Microsoft .NET crypto,
libkcapi från Linux-kärnan, Sodium och GnuTLS.

Problemet orsakas av möjligheten att bestämma värdena av enskilda bitar under körningen av multiplikation med en skalar vid operationer med elliptiska kurvor. För att extrahera bitinformation används indirekta metoder, såsom att mäta fördröjningen i beräkningarna. För att genomföra attacken krävs obehörig åtkomst till värden som genererar digitala signaturer (en utslutning av fjärrattack är dock mycket mer komplicerad och kräver stora mängder data för analys, varför den kan betraktas som osannolik). För att ladda ner är tillgänglig verktygen som används för attacken.

Trots den ringa storleken på läckan är det tillräckligt att för ECDSA-identifikation fånga ett par bitar med information om initialiseringsvektorn (nonce) för att genomföra en attack som sekventiellt återställer hela den privata nyckeln. Enligt metodes uppfinnare krävs det att man analyserar från flera hundra till flera tusen digitala signaturer, som genererats för kända meddelanden av angriparen, för att framgångsrikt återställa nyckeln. Till exempel, för att identifiera den privata nyckeln som används på smartkortet Athena IDProtect baserat på Inside Secure AT90SC-chippen, analyserades 11 000 digitala signaturer när den elliptiska kurvan secp256r1 användes. Den totala attacktiden var 30 minuter.

Källa: opennet.ru