मिनर्वा: ईसीडीएसए / एडीडीएसए कार्यान्वयन में कमजोरियों की एक श्रृंखला

मासेरीक विश्वविद्यालय के शोधकर्ताओं ने जानकारी का खुलासा किया महत्वपूर्ण में कमजोरियों के बारे में विभिन्न मैंECDSA / EdDSA डिजिटल हस्ताक्षर पीढ़ी एल्गोरिदम के कार्यान्वयन, यह व्यक्तिगत बिट्स पर सूचना लीक के विश्लेषण के आधार पर निजी कुंजी के मूल्य को पुनर्प्राप्त करने की अनुमति देता है जो तृतीय-पक्ष चैनलों के माध्यम से विश्लेषण विधियों को लागू करते समय दिखाई देते हैं। कमजोरियों का नाम मिनर्वा है।

सबसे प्रसिद्ध परियोजनाएं वह प्रभाव प्रस्तावित हमले का तरीका है ओपनजेडीके, ओरेकलजेडीके (CVE-2019-2894) और पुस्तकालय लिबरक्रिप्ट (CVE-2019-13627) GnuPG में प्रयुक्त। समस्याएं हैं पुस्तकालयों के लिए भी अतिसंवेदनशील मैट्रिक्ससीएलएल, क्रिप्टो ++, भेड़िया क्रिप्टो, अण्डाकार, जेआरसैसाइन, पायथन-ईसीडीएसए, रूबी_क्रेडा, फास्टकैडा और कुछ स्मार्ट कार्ड भी एथेना आईडीप्रोटेक्ट, टेकसेक आर्मर्ड कार्ड, सेफनेट ईटोकन 4300, वैलिड एस / ए आईडीएक्सप्लेक्स एन।

फिलहाल उल्लिखित भेद्यता के अलावा वे प्रभावित नहीं होते हैं ओपनएसएसएल, बोटन, mbedTLS, और बोरिंगएसएसएल। Mozilla NSS, LibreSSL, Nettle, BearSSL, cryptlib, OpenSSL दान मोड में। Microsoft .NET क्रिप्टो, लिनक्स कर्नेल libkcapi, सोडियम और GnuTLS का परीक्षण अभी बाकी है।

हमने ईसीसी में स्केलर गुणन के दौरान स्केलर की थोड़ी लंबाई खोने वाले कार्यान्वयन को पाया है। यह रिसाव छोटा लग सकता है क्योंकि बिट लंबाई में बहुत कम मात्रा में जानकारी मौजूद होती है। हालांकि, ईसीडीएसए / एडीडीएसए हस्ताक्षर निर्माण के मामले में, यादृच्छिक नॉन की थोड़ी लंबाई को छानना, ज्ञात संदेशों में कुछ सौ से कुछ हजार हस्ताक्षरों को देखने के बाद उपयोग की जाने वाली निजी कुंजी की पूरी वसूली के लिए पर्याप्त है। कुछ तकनीकें।

हम मानते हैं कि सभी पिछले कार्ड प्रभावित हैं क्योंकि वे एक आम ईसीडीएसए घटक (FIPS 214 मॉड्यूल) साझा करते हैं, जिसे एथेना ओएस 2 ईसीडीएसए 755 घटक इनसाइड सिक्योर एटी 90 एससी A1.0 (फर्मवेयर) के रूप में वर्णित किया गया है। हमने CPLC और ATR डेटा के साथ केवल एथेना IDProtect कार्ड पर भेद्यता का परीक्षण किया है

समस्या व्यक्तिगत बिट मूल्यों को निर्धारित करने की क्षमता के कारण होती है ECC ट्रेडिंग के दौरान एक स्केलर द्वारा गुणन के दौरान। अप्रत्यक्ष तरीके, जैसे गणना करने में देरी का अनुमान लगाने के लिए, बिट जानकारी निकालने के लिए उपयोग किया जाता है।

एक हमले के लिए मेजबान से अप्रभावित पहुंच की आवश्यकता होती है जिसमें डिजिटल हस्ताक्षर उत्पन्न होता है (एक दूरस्थ हमले को बाहर नहीं किया जाता है, लेकिन यह बहुत जटिल है और विश्लेषण के लिए बड़ी मात्रा में डेटा की आवश्यकता होती है, इसलिए इसे असंभाव्य माना जा सकता है)।

रिसाव के छोटे आकार के बावजूद, ECDSA के लिए इनिशियलाइज़ेशन वेक्टर (नॉन) के बारे में जानकारी के साथ कुछ बिट्स की परिभाषा भी पूरी निजी कुंजी को क्रमिक रूप से पुनर्स्थापित करने के लिए एक हमले को अंजाम देने के लिए पर्याप्त है।

विधि के लेखकों के अनुसार, सफल कुंजी पुनर्प्राप्ति के लिए, कई सौ से कई हजार उत्पन्न डिजिटल हस्ताक्षरों का विश्लेषण पर्याप्त है हमलावर को ज्ञात संदेशों के लिए। उदाहरण के लिए, एथेन आईडीप्रोटेक्ट स्मार्ट कार्ड में इस्तेमाल की गई निजी कुंजी को इनर सिक्योर एटी 90 एससी चिप के आधार पर निर्धारित करने के लिए, अण्डाकार वक्र सेकंड 256 आर 1 का उपयोग करके, 11 हजार डिजिटल हस्ताक्षरों का विश्लेषण किया गया। कुल हमले का समय 30 मिनट था।

हमारे हमले का कोड और अवधारणा का प्रमाण ब्रुमली और टुवेरी पद्धति से प्रेरित है।

समस्या पहले से ही libgcrypt 1.8.5 और wolfCrypt 4.1.0 में तय की गई है, अन्य परियोजनाओं ने अभी तक अद्यतन उत्पन्न नहीं किया है। इन पृष्ठों पर वितरण में libgcrypt पैकेज में भेद्यता निर्धारण का पता लगाना भी संभव है: डेबियन, Ubuntu, RHEL, फेडोरा, openSUSE / SUSE, FreeBSD, आर्क।

शोधकर्ताओं ने अन्य कार्डों और पुस्तकालयों का भी परीक्षण किया, जिनमें से निम्नलिखित असुरक्षित नहीं हैं:

• ओपनएसएसएल 1.1.1 डी
• बाउंसीकैसल 1.58
• बोरिंगएसएसएल 974f4dddf
• लिबटॉमक्रिप्ट 1.18.2
• बॉटन 2.11.0
• माइक्रोसॉफ्ट सीएनजी
• एमबीडीटीएलएस 2.16.0
• इंटेल आईपीपी-क्रिप्टो

पत्ते

• एसीएस एसीओएसजे 40K
• फ़ाइटियन A22CR
• जी एंड डी स्मार्टकैफे 6.0
• जी एंड डी स्मार्टकैफे 7.0
• इन्फिनियॉन CJTOP 80K INF SLJ 52GLA080AL M8.4
• Infineon SLE78 यूनिवर्सल जेकार्ड
• एनएक्सपी जेसीओपी31 v2.4.1
• एनएक्सपी जेसीओपी सीजे२ए०८१
• एनएक्सपी जेसीओपी वी२.४.२ आर२
• एनएक्सपी जेसीओपी वी२.४.२ आर२
• SIMOME ताइसिस वॉल्ट

यदि आप इस्तेमाल किए गए हमले और कमजोरियों का पता लगाना चाहते हैं, तो आप ऐसा कर सकते हैं निम्नलिखित लिंक। हमले को दोहराने के लिए उपयोग किए जाने वाले उपकरण डाउनलोड के लिए उपलब्ध हैं।