Mbinu Mpya ya Mashambulizi ya Idhaa ya Upande ya Kurejesha Funguo za ECDSA

Watafiti kutoka Chuo Kikuu. Masaryk kufunuliwa habari kuhusu udhaifu katika utekelezaji mbalimbali wa algorithm ya kuunda saini ya dijiti ya ECDSA/EdDSA, ambayo inakuwezesha kurejesha thamani ya ufunguo wa kibinafsi kulingana na uchambuzi wa uvujaji wa habari kuhusu bits za kibinafsi zinazojitokeza wakati wa kutumia mbinu za uchambuzi wa tatu. Udhaifu huo ulipewa jina la Minerva.

Miradi inayojulikana zaidi ambayo imeathiriwa na mbinu iliyopendekezwa ya kushambulia ni OpenJDK/OracleJDK (CVE-2019-2894) na maktaba. libgcrypt (CVE-2019-13627) inatumika katika GnuPG. Pia huathirika na tatizo MatrixSSL, Crypto++, wolfCrypt, mviringo, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, rahisi ecc na Athena IDProtect kadi smart. Haijajaribiwa, lakini Kadi Halali za S/A IDflex V, SafeNet eToken 4300 na TecSec Armored Card, zinazotumia moduli ya kawaida ya ECDSA, pia zimetangazwa kuwa zinaweza kuathirika.

Tatizo tayari limewekwa katika matoleo ya libgcrypt 1.8.5 na wolfCrypt 4.1.0, miradi iliyobaki bado haijatoa sasisho. Unaweza kufuatilia urekebishaji wa athari katika kifurushi cha libgcrypt katika usambazaji kwenye kurasa hizi: Debian, Ubuntu, RHEL, Fedora, kufunguaSUSE / SUSE, FreeBSD, Arch.

Udhaifu si rahisi kuathiriwa OpenSSL, Botan, mbedTLS na BoringSSL. Bado haijajaribiwa Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL katika hali ya FIPS, Microsoft .NET crypto,
libkcapi kutoka kwa kinu cha Linux, Sodiamu na GnuTLS.

Shida husababishwa na uwezo wa kuamua maadili ya biti za mtu binafsi wakati wa kuzidisha kwa scalar katika shughuli za curve ya mviringo. Mbinu zisizo za moja kwa moja, kama vile kukadiria ucheleweshaji wa hesabu, hutumiwa kutoa maelezo kidogo. Shambulio linahitaji ufikiaji usio na haki kwa seva pangishi ambapo sahihi ya dijiti inatolewa (sio kutengwa na mashambulizi ya kijijini, lakini ni ngumu sana na inahitaji kiasi kikubwa cha data kwa uchambuzi, hivyo inaweza kuchukuliwa kuwa haiwezekani). Kwa upakiaji inapatikana zana zinazotumika kushambulia.

Licha ya ukubwa usio na maana wa uvujaji, kwa ECDSA ugunduzi wa bits chache na habari kuhusu vekta ya uanzishaji (nonce) inatosha kutekeleza shambulio la kurejesha ufunguo wote wa kibinafsi kwa mtiririko. Kwa mujibu wa waandishi wa njia hiyo, ili kurejesha ufunguo kwa ufanisi, uchambuzi wa saini mia kadhaa hadi elfu kadhaa zinazozalishwa kwa ujumbe unaojulikana kwa mshambuliaji ni wa kutosha. Kwa mfano, sahihi elfu 90 za kidijitali zilichanganuliwa kwa kutumia mkunjo wa duaradufu wa secp256r1 ili kubaini ufunguo wa faragha unaotumiwa kwenye kadi mahiri ya Athena IDProtect kulingana na chipu ya Inside Secure AT11SC. Muda wote wa shambulio ulikuwa dakika 30.

Chanzo: opennet.ru