ed25519-unsafe-libs

Ed25519 पर डबल पब्लिक की साइनिंग फंक्शन Oracle अटैक

एड25519 सिग्नेचर लाइब्रेरियों की एक सूची जो एक सार्वजनिक API की अनुमति देती हैं जहाँ गुप्त और सार्वजनिक कुंजी को साइनिंग फंक्शन इनपुट के रूप में स्वतंत्र रूप से प्रदान किया जा सकता है। इन सार्वजनिक APIs के दुरुपयोग से प्राइवेट की उजागर हो सकती है।

हमारे विश्लेषण में अधिकांश रिपॉजिटरी IANIX :: Things that use Ed25519 में सूचीबद्ध हैं।

प्रभावित लाइब्रेरियों की संख्या: 45
घोषणा के बाद समस्या ठीक करने वाली लाइब्रेरियों की संख्या: 8
अंतिम अद्यतन: मई 04, 2023

इस संभावित शोषण को प्रदर्शित करने वाले प्रूफ ऑफ कॉन्सेप्ट कार्यान्वयन:

• Rust: ed25519-chalkias-exploit
• Python: Ed25519 Vulnerability in Python, Buchanan, William J (2022). Ed25519 Vulnerability in Python (Recovering Private Key). Asecuritysite.com.

वार्ताएँ:

• USA के नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी (NIST) क्रिप्टो रीडिंग क्लब में आमंत्रित वार्ता: स्लाइड्स - Taming the Many EdDSAs (पृष्ठ 28-39), Konstantinos Chalkias, François Garillot, Valeria Nikolaenko (2023). Taming the Many EdDSAs & Ed25519 Signing Attacks.

इस हमले की समाचार और सोशल नेटवर्क कवरेज

• NIST Crypto Reading Club "Taming the Many EdDSAs" (मार्च 08, 2023)
• The Daily Swig "दर्जनों क्रिप्टोग्राफी लाइब्रेरियाँ प्राइवेट की चोरी के प्रति संवेदनशील" (जून 28, 2022)
• Risky Biz News "नई क्रिप्टो भेद्यता: दर्जनों क्रिप्टोग्राफी लाइब्रेरियों ने Ed25519 डिजिटल हस्ताक्षर एल्गोरिथ्म का गलत कार्यान्वयन किया है" (जून 28, 2022)
• SafeHeron blogpost "Ed25519 उपयोग जोखिमों का विश्लेषण: आपका वॉलेट प्राइवेट की चोरी हो सकती है" (जून 17, 2022)
• kryptera.se "अधिकांश ed25519 लाइब्रेरियों में भेद्यता" (स्वीडिश में) (जून 29, 2022)
• Difesa e Sicurezza & Yoroi "Librerie crittografiche ed25519 potenzialmente non sicure" (इतालवी में) (जुलाई 1 और जून 29, 2022)
• Medium post by Prof Bill Buchanan OBE "Ed25519 महान है, लेकिन ..." (जुलाई 1, 2022)
• Reddit r/crypto (महीने की सर्वश्रेष्ठ पोस्ट - जून 18, 2022)
• Reddit r/cryptography (जून 17, 2022)
• दिलचस्प ट्वीट्स:
  • ट्वीट 1 (Kostas Kryptos द्वारा - "मूल 26 संवेदनशील लाइब्रेरियाँ")
  • ट्वीट 2 (Kostas Kryptos द्वारा - "40 संवेदनशील लाइब्रेरियों का परिणाम")
  • ट्वीट 3 (Catalin Cimpanu द्वारा - "40 क्रिप्टोग्राफी लाइब्रेरियाँ समान Ed25519 गलत कार्यान्वयन से प्रभावित हैं")

समस्या क्या है?

ध्यान दें कि सामान्य रूप से और संबंधित rfc8032 के अनुसार, EdDSA हस्ताक्षर नियतात्मक (deterministic) होते हैं, और इस प्रकार हस्ताक्षर किए जाने वाले समान इनपुट संदेश के लिए, एक अद्वितीय हस्ताक्षर आउटपुट लौटाया जाता है जिसमें दो तत्व शामिल होते हैं: एक वक्र बिंदु R और एक स्केलर S।

एक एल्गोरिथ्मिक विवरण यह है कि हस्ताक्षरकर्ता की सार्वजनिक कुंजी केवल हस्ताक्षर के S भाग की नियतात्मक गणना में शामिल होती है, लेकिन R मान में नहीं। बाद का तात्पर्य है कि यदि कोई प्रतिद्वंद्वी किसी तरह साइनिंग फंक्शन को Oracle के रूप में उपयोग कर सकता है (जो इनपुट के रूप में मनमानी सार्वजनिक कुंजियों की अपेक्षा करता है), तो यह संभव है कि समान संदेश के लिए दो हस्ताक्षर प्राप्त हों जो समान R साझा करते हैं और केवल S भाग में भिन्न होते हैं। दुर्भाग्यवश, जब ऐसा होता है, तो कोई भी आसानी से प्राइवेट की निकाल सकता है; यह StackOverflow पोस्ट पोस्ट बताती है कि यह क्यों संभव है।

यह कहने के बाद, सार्वजनिक APIs को साइनिंग इनपुट के रूप में एक अलग किए गए प्राइवेट/पब्लिक की-पेयर की अनुमति नहीं देनी चाहिए। इससे बचने के लिए, कई कार्यान्वयन सार्वजनिक कुंजी को प्राइवेट की (या सीड) के साथ संग्रहीत करते हैं और पूरे की-पेयर को गुप्त मानते हैं, या वे हमेशा साइनिंग फंक्शन के अंदर सार्वजनिक कुंजी को पुनः व्युत्पन्न (re-derive) करते हैं। दुर्भाग्यवश, बड़ी संख्या में मौजूदा लाइब्रेरियाँ इनपुट सार्वजनिक कुंजी को इनपुट प्राइवेट की के अनुरूप होने की जाँच किए बिना मनमानी सार्वजनिक कुंजियों को इनपुट के रूप में अनुमति देकर इस समस्या का समाधान नहीं कर पाती हैं।

बेशक, इसका मतलब यह नहीं है कि इन लाइब्रेरियों पर निर्भर सभी एप्लिकेशन कुंजी एक्सपोज़र हमलों के प्रति संवेदनशील हैं; वास्तव में, अधिकांश शायद सुरक्षित हैं क्योंकि वे आमतौर पर प्रभावित API को अपने उपयोगकर्ताओं के लिए सार्वजनिक रूप से उजागर नहीं करते हैं और sign कॉल से ठीक पहले अपने पब/प्राइवेट की-पेयर को जोड़ते हैं। दूसरी ओर, भले ही ये APIs उजागर न हों, ऐसे एप्लिकेशन हैं जिनमें प्राइवेट और पब्लिक की को प्रबंधित और संग्रहीत करने के तरीके के बारे में अलग-अलग TCB थ्रेट मॉडल रणनीतियाँ होती हैं। फिर भी, इस हमले को रोकने के लिए, डेवलपर्स को सार्वजनिक कुंजियों के लिए भी एक अखंडता संरक्षण प्रोटोकॉल लागू करना चाहिए।

चित्र 1. ed25519-dalek Rust crate में API दुरुपयोग का एक उदाहरण।

प्रभावित लाइब्रेरियाँ

• C: OpenGNB
  https://github.com/gnbdev/opengnb/blob/master/libs/ed25519/sign.c#L7

• C: GNU Nettle
  https://github.com/gnutls/nettle/blob/fe7ae87d1b837e82f7c7968b068bca7d853a4cec/ed25519-sha512-sign.c#L43

• ASM/C: iroha-ed25519 (Hyperledger Project)
  https://github.com/hyperledger/iroha-ed25519/blob/main/lib/ed25519/ref10/ed25519.c#L27 और https://github.com/hyperledger/iroha-ed25519/blob/main/lib/ed25519/amd64-64-24k-pic/ed25519.c#L30

• C: ed25519-donna (Andrew Moon)
  https://github.com/floodyberry/ed25519-donna/blob/master/ed25519.c#L59

• C: ed25519 (Orson Peters)
  https://github.com/orlp/ed25519/blob/master/src/sign.c#L7

• C: libbrine (Kevin Smith)
  https://github.com/kevsmith/libbrine/blob/master/src/ed25519/sign.c#L7

• C++: Ed25519 (ArduinoLibs)
  https://rweather.github.io/arduinolibs/classEd25519.html#a36ecf67b4c5d2d39a31888f56af1f8a5

• C#: ed25519 (Hans Wolff)
  https://github.com/hanswolff/ed25519/blob/master/Ed25519/Ed25519.cs#L146

• C#: Ed25519 (CryptoManiac)
  https://github.com/CryptoManiac/Ed25519/blob/972829ac688847895d5105f19ca1e5777131b421/Chaos.NaCl/Internal/Ed25519Ref10/keypair.cs#L7

• Dart: ed25519_dart (Oleksii Semeshchuk)
  https://github.com/semolex/ed25519_dart/blob/master/lib/src/ed25519_dart_base.dart#L200

ठीक की गई लाइब्रेरियाँ

• C: Trezor firmware
  इस PR में ठीक किया गया: https://github.com/trezor/trezor-firmware/pull/2349 (फिक्स 27 जून, 2022 को मर्ज किया गया)

• Java: ed25519-elisabeth (Jack Grigg)
  इस commit में ठीक किया गया: https://github.com/cryptography-cafe/ed25519-elisabeth/commit/49545ce47d550fed807522dff86546c812ccbbac (फिक्स 19 जून, 2022 को मर्ज किया गया)

• C: Harbour (Viktor Szakats)
  इस commit में ठीक किया गया: https://github.com/vszakats/hb/commit/bae610b63d35c6c1793d94a3bf9467c3b1eded18 (फिक्स 30 जून, 2022 को मर्ज किया गया)

• Rust/Wasm: polkadot-js/wasm
  इस PR में ठीक किया गया: https://github.com/polkadot-js/wasm/pull/381/files (फिक्स 3 जुलाई, 2022 को मर्ज किया गया)

• C: horse25519 (Yawning Angel)
  इस PR में ठीक किया गया: https://github.com/Yawning/horse25519/pull/3 (फिक्स 15 अगस्त, 2022 को मर्ज किया गया)

• Erlang: erlang-libdecaf
  इस commit में ठीक किया गया: https://github.com/potatosalad/erlang-libdecaf/commit/16ba07ea122660e95f6cfa9107e28ed58bada713. इस issue में तर्क संबोधित किया गया: ed25519-unsafe-libs/issues/7 (फिक्स 28 अगस्त, 2022 को मर्ज किया गया)

• Rust: ed25519-dalek (Isis Agora Lovecruft)
  इस PR में ठीक किया गया: https://github.com/dalek-cryptography/ed25519-dalek/pull/205 (फिक्स 22 अक्टूबर, 2022 को मर्ज किया गया)

• C: Monocypher (Loup Vaillant)
  इस commit में ठीक किया गया: https://github.com/LoupVaillant/Monocypher/commit/da7b5407d20329f21a53ea993f516fb55e2f5e26 (फिक्स 27 फरवरी, 2023 को मर्ज किया गया)

गलत सकारात्मक (संभवतः सुरक्षित)

मूल रूप से संवेदनशील के रूप में रिपोर्ट की गई लाइब्रेरियाँ, लेकिन समुदाय की प्रतिक्रिया के आधार पर सूची से हटा दी गईं।

• Go: threshold-ed25519 — Ed25519 का उपयोग करते हुए थ्रेशोल्ड हस्ताक्षर
  https://gitlab.com/unit410/threshold-ed25519/-/blob/main/pkg/ed25519.go#L161 -> रिपोर्ट देखें https://github.com/MystenLabs/ed25519-unsafe-libs/pull/9 (27 अक्टूबर, 2022 को nitronit द्वारा रिपोर्ट किया गया)