ed25519-unsafe-libs

هجوم Oracle على دالة التوقيع بمفتاح عام مزدوج على Ed25519

قائمة بمكتبات توقيع ed25519 غير الآمنة احتماليًا والتي توفّر واجهة برمجة تطبيقات عامة يمكن من خلالها تمرير المفتاح السري والمفتاح العام بشكل مستقل كمدخلات لدالة التوقيع. يمكن أن يؤدي سوء استخدام هذه الواجهات العامة إلى كشف المفتاح الخاص.

معظم المستودعات في تحليلنا مدرجة في IANIX :: Things that use Ed25519.

عدد المكتبات المتأثرة: 45
عدد المكتبات التي أصلحت المشكلة بعد الإعلان: 8
آخر تحديث: 4 مايو 2023

تطبيقات إثبات المفهوم التي توضح هذا الاستغلال المحتمل:

• Rust: ed25519-chalkias-exploit
• Python: Ed25519 Vulnerability in Python, Buchanan, William J (2022). Ed25519 Vulnerability in Python (Recovering Private Key). Asecuritysite.com.

محاضرات:

• محاضرة مدعوة إلى نادي قراءة التشفير في المعهد الوطني الأمريكي للمعايير والتقنية (NIST): الشرائح - Taming the Many EdDSAs (الصفحات 28-39)، Konstantinos Chalkias, François Garillot, Valeria Nikolaenko (2023). Taming the Many EdDSAs & Ed25519 Signing Attacks.

تغطية إخبارية وتغطية عبر شبكات التواصل لهذا الهجوم

• NIST Crypto Reading Club "Taming the Many EdDSAs" (8 مارس 2023)
• The Daily Swig "Dozens of cryptography libraries vulnerable to private key theft" (28 يونيو 2022)
• Risky Biz News "New crypto vulnerability: Tens of cryptography libraries have misimplemented the Ed25519 digital signature algorithm" (28 يونيو 2022)
• منشور SafeHeron "Analysis on Ed25519 Use Risks: Your Wallet Private Key Can Be Stolen" (17 يونيو 2022)
• kryptera.se "Vulnerability in most ed25519 libraries" (بالسويدية) (29 يونيو 2022)
• Difesa e Sicurezza و Yoroi "Librerie crittografiche ed25519 potenzialmente non sicure" (بالإيطالية) (1 يوليو و29 يونيو 2022)
• منشور Medium بقلم البروفيسور Bill Buchanan OBE "Ed25519 is Great, But ..." (1 يوليو 2022)
• Reddit r/crypto (أفضل منشور لهذا الشهر - 18 يونيو 2022)
• Reddit r/cryptography (17 يونيو 2022)
• تغريدات مثيرة للاهتمام:
  • تغريدة 1 (بقلم Kostas Kryptos - "المكتبات الـ26 الضعيفة الأصلية")
  • تغريدة 2 (بقلم Kostas Kryptos - "ما بعد المكتبات الـ40 الضعيفة")
  • تغريدة 3 (بقلم Catalin Cimpanu - "40 مكتبة تشفير متأثرة بنفس سوء تنفيذ Ed25519")
  • تغريدة 4 (بقلم Kenny Paterson - "إمكانية واسعة لاستعادة المفاتيح الخاصة في EdDSA، راجع http://kopenpgp.com حيث تم استغلال نفس المتجه في مكتبات OpenPGP")
  • تغريدة 5 (بقلم Steven Galbraith - "خطر على التواقيع الحتمية: من الأفضل التحقق من أنه المفتاح العام الصحيح!")
  • تغريدة 6 (بقلم Riyaz Faizullabhoy - "إذا كنت تستخدم EdDSA في بيئة الإنتاج، يرجى إلقاء نظرة")
  • تغريدة 7 (بقلم Bart Preneel - "تذكير بأن تنفيذ الخوارزميات التشفيرية بشكل آمن وصحيح أمر صعب").
• تحديات CTF (التقاط العلم) التي تعرض هذا الهجوم:
  • ImaginaryCTF - JWT25519 (200pts) (30 يونيو 2022)

ما هي المشكلة؟

لاحظ أنه في الوضع الطبيعي ووفقًا لـ rfc8032 المرتبط بالموضوع، تكون تواقيع EdDSA حتمية، وبالتالي لنفس رسالة الإدخال المراد توقيعها، يتم إرجاع مخرج توقيع فريد يتضمن عنصرين: نقطة منحنى R وكمية قياسية S.

من التفاصيل الخوارزمية أن المفتاح العام للموقّع يشارك فقط في الحساب الحتمي لجزء S من التوقيع، وليس في قيمة R. هذا الأخير يعني أنه إذا تمكن الخصم بطريقة ما من استخدام دالة التوقيع كـ Oracle (يتوقع مفاتيح عامة عشوائية كمدخلات)، فمن الممكن لنفس الرسالة الحصول على توقعين يتشاركان نفس R ويختلفان فقط في جزء S. لسوء الحظ، عند حدوث ذلك، يمكن للمرء بسهولة استخراج المفتاح الخاص؛ هذا منشور StackOverflow يشرح لماذا هذا ممكن.

ومع ذلك، يجب ألا تسمح الواجهات العامة بتمرير زوج مفاتيح خاص/عام منفصل كمدخل توقيع. ولتجنب ذلك، تقوم العديد من التطبيقات بتخزين المفتاح العام مع المفتاح الخاص (أو البذرة) وتعتبر زوج المفاتيح بأكمله هو السر، أو تقوم دائمًا بإعادة اشتقاق المفتاح العام داخل دالة التوقيع. لسوء الحظ، يفشل عدد كبير من المكتبات الموجودة في معالجة هذه المشكلة من خلال السماح بمفاتيح عامة عشوائية كمدخلات دون التحقق مما إذا كان المفتاح العام المُدخل يطابق المفتاح الخاص المُدخل.

بالطبع، هذا لا يعني أن جميع التطبيقات التي تعتمد على هذه المكتبات معرضة لهجمات كشف المفاتيح؛ في الواقع، معظمها آمن على الأرجح بسبب عدم كشف الواجهة المتأثرة عادةً لمستخدميها، وربط زوج المفاتيح العام/الخاص قبل استدعاء sign مباشرة. من ناحية أخرى، حتى عندما لا تكون هذه الواجهات مكشوفة، هناك تطبيقات تستخدم استراتيجيات نماذج تهديد TCB مختلفة حول كيفية إدارة وتخزين المفاتيح الخاصة والعامة. ومع ذلك، لمنع هذا الهجوم، يجب على المطورين أيضًا فرض بروتوكول حماية سلامة للمفاتيح العامة.

هنا، نسرد بعض المكتبات المتأثرة مع المراجع البرمجية ذات الصلة.

الشكل 1. مثال على إساءة استخدام واجهة برمجة التطبيقات في Rust crate باسم ed25519-dalek.

المكتبات المتأثرة

• C: OpenGNB
  https://github.com/gnbdev/opengnb/blob/master/libs/ed25519/sign.c#L7

• C: GNU Nettle
  https://github.com/gnutls/nettle/blob/fe7ae87d1b837e82f7c7968b068bca7d853a4cec/ed25519-sha512-sign.c#L43

• ASM/C: iroha-ed25519 (مشروع Hyperledger)
  https://github.com/hyperledger/iroha-ed25519/blob/main/lib/ed25519/ref10/ed25519.c#L27 و https://github.com/hyperledger/iroha-ed25519/blob/main/lib/ed25519/amd64-64-24k-pic/ed25519.c#L30

• C: ed25519-donna (Andrew Moon)
  https://github.com/floodyberry/ed25519-donna/blob/master/ed25519.c#L59

• C: ed25519 (Orson Peters)
  https://github.com/orlp/ed25519/blob/master/src/sign.c#L7

• C: libbrine (Kevin Smith)
  https://github.com/kevsmith/libbrine/blob/master/src/ed25519/sign.c#L7