ECDSA kalitlarini tiklash uchun yangi yon kanalga hujum qilish texnikasi

Universitet tadqiqotchilari. Masaryk ochilgan haqida ma'lumot zaifliklar ECDSA/EdDSA raqamli imzo yaratish algoritmining turli ilovalarida, bu uchinchi tomon tahlil usullaridan foydalanganda paydo bo'ladigan alohida bitlar haqidagi ma'lumotlarning sizib chiqishini tahlil qilish asosida shaxsiy kalit qiymatini tiklash imkonini beradi. Zaifliklar Minerva kod nomini oldi.

Tavsiya etilgan hujum usulidan ta'sirlangan eng mashhur loyihalar OpenJDK/OracleJDK (CVE-2019-2894) va kutubxonadir. libgcrypt (CVE-2019-13627) GnuPG da ishlatiladi. Shuningdek, muammoga moyil MatrixSSL, Kripto++, wolfCrypt, elliptik, jsrsasign, python-ecdsa, ruby_ecdsa, fastecdsa, oson va boshqalar va Athena IDProtect smart-kartalari. Sinovdan o‘tmagan, ammo standart ECDSA modulidan foydalanadigan Valid S/A IDflex V, SafeNet eToken 4300 va TecSec Armored Card kartalari ham potentsial zaif deb e’lon qilingan.

Muammo libgcrypt 1.8.5 va wolfCrypt 4.1.0 versiyalarida allaqachon tuzatilgan, qolgan loyihalar hali yangilanishlarni yaratmagan. Libgcrypt paketidagi zaiflikni tuzatishni ushbu sahifalardagi tarqatishlarda kuzatishingiz mumkin: Debian, Ubuntu, RHEL, Fedora, openSUSE / SUSE, FreeBSD, ark.

Zaifliklar sezgir emas OpenSSL, Botan, mbedTLS va BoringSSL. Hali sinovdan o‘tmagan Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL in FIPS rejimida, Microsoft .NET kripto,
libkcapi Linux yadrosi, Natriy va GnuTLS.

Muammo elliptik egri operatsiyalarda skalyar ko'paytirish paytida alohida bitlarning qiymatlarini aniqlash qobiliyatidan kelib chiqadi. Bit ma'lumotlarini olish uchun bilvosita usullar, masalan, hisoblash kechikishini baholashdan foydalaniladi. Hujum raqamli imzo yaratilgan xostga imtiyozsiz kirishni talab qiladi (yo'q istisno qilingan va masofaviy hujum, lekin u juda murakkab va tahlil qilish uchun katta hajmdagi ma'lumotlarni talab qiladi, shuning uchun uni ehtimoldan yiroq deb hisoblash mumkin). Yuklash uchun mavjud hujum qilish uchun ishlatiladigan vositalar.

Oqishning ahamiyatsiz hajmiga qaramay, ECDSA uchun initsializatsiya vektori (nonce) haqidagi ma'lumotlarga ega bo'lgan bir nechta bitlarni aniqlash butun shaxsiy kalitni ketma-ket tiklash uchun hujumni amalga oshirish uchun etarli. Usul mualliflarining fikricha, kalitni muvaffaqiyatli tiklash uchun tajovuzkorga ma'lum bo'lgan xabarlar uchun yaratilgan bir necha yuzdan bir necha minggacha raqamli imzolarni tahlil qilish kifoya. Masalan, Inside Secure AT90SC chipi asosidagi Athena IDProtect smart-kartasida foydalaniladigan shaxsiy kalitni aniqlash uchun secp256r1 elliptik egri chizig‘i yordamida 11 ming raqamli imzo tahlil qilindi. Umumiy hujum vaqti 30 daqiqa edi.

Manba: opennet.ru