Sårbarhet i PuTTY som möjliggör återskapande av användarens privata nyckel

I PuTTY, en populär SSH-klient för Windows-plattformen, har en farlig sårbarhet (CVE-2024-31497) identifierats, som möjliggör återskapande av användarens privata nyckel, genererad med hjälp av ECDSA-algoritmen med den elliptiska kurvan NIST P-521 (ecdsa-sha2-nistp521). För att knäcka den privata nyckeln räcker det med att analysera ungefär 60 digitala signaturer som skapats med den problematiska nyckeln.

Sårbarheten uppstår från version 0.68 av PuTTY och påverkar även produkter som inkluderar sårbara versioner av PuTTY, till exempel FileZilla (3.24.1 – 3.66.5), WinSCP (5.9.5 – 6.3.2), TortoiseGit (2.4.0.2 – 2.15.0) och TortoiseSVN (1.10.0 – 1.14.6). Problemet är åtgärdat i uppdateringarna PuTTY 0.81, FileZilla 3.67.0, WinSCP 6.3.3 och TortoiseGit 2.15.0.1. Efter installation av uppdateringen rekommenderas användare att generera nya nycklar och ta bort de gamla offentliga nycklarna från authorized_keys-filerna.

Sårbarheten orsakas av vårdslöshet från utvecklarnas sida, som använde en initialiseringsvektor (nonce) baserad på en 512-bitars slumpmässig sekvens för att generera en 521-bitars nyckel, troligen eftersom de ansåg att entropin på 512 bitar skulle vara tillräcklig och att de resterande 9 bitarna inte har någon betydelse. Som ett resultat hade alla privata nycklar som skapades i PuTTY med ecdsa-sha2-nistp521-algoritmen alltid nollvärden för de första 9 bitarna av initialiseringsvektorn.

För ECDSA och DSA är kvaliteten på den slumpmässiga talgeneratorn och det fulla täckandet av slumpmässiga data för parametern som används vid beräkning av modulen av avgörande betydelse, eftersom bestämning av även några bitar av information om initialiseringsvektorn är tillräckligt för att genomföra en attack genom sekvensåterställning av hela den privata nyckeln. För att framgångsrikt återställa nyckeln krävs endast den offentliga nyckeln och analysen av flera tiotals digitala signaturer som skapats med den problematiska nyckeln för kända uppgifter för angriparen. Attacken reduceras till att lösa HNP-problemet (Hidden Number Problem).

Nödvändiga digitala signaturer kan erhållas, till exempel genom att ansluta en användare till en angripares SSH-server eller en Git-server som använder SSH som transport. De signaturer som behövs för attacken kan också upptäckas om nyckeln har använts för att signera godtyckliga data, exempelvis git-commits, när SSH-agenten Pageant används för att omdirigera trafik till utvecklarens värd. Att få de nödvändiga data för att återställa nyckeln under en MITM-attack är uteslutet, eftersom signaturerna i SSH inte överförs i klartext.

Det noteras att liknande användning av ofullständiga initieringsvektorer har använts i PuTTY och för andra typer av elliptiska kurvor, men för algoritmer som skiljer sig från ECDSA P-521 är de informationer som läckt inte tillräckliga för att genomföra en fungerande attack för att återställa nyckeln. ECDSA-nycklar av en annan storlek och Ed25519-nycklar är inte sårbara för attacken.

Källa: opennet.ru