ed25519-unsafe-libs

针对 Ed25519 的双公钥签名函数预言机攻击

本列表收录了存在潜在不安全的 ed25519 签名库，这些库提供了一个公共 API，允许将私钥和公钥作为签名函数的输入独立提供。误用这些公共 API 可能导致私钥泄露。

我们分析中的大多数仓库已收录于 IANIX :: 使用 Ed25519 的项目。

受影响库数量：45
公告发布后修复该问题的库数量：8
最后更新：2023 年 5 月 4 日

演示此潜在漏洞的概念验证实现：

• Rust: ed25519-chalkias-exploit
• Python: Python 中的 Ed25519 漏洞, Buchanan, William J (2022)。Python 中的 Ed25519 漏洞（恢复私钥）。Asecuritysite.com。

演讲：

• 应美国国家标准与技术研究院（NIST）加密阅读俱乐部（Crypto Reading Club）邀请发表的演讲：幻灯片 - 驯服众多的 EdDSA（第 28-39 页），Konstantinos Chalkias, François Garillot, Valeria Nikolaenko (2023)。驯服众多的 EdDSA 与 Ed25519 签名攻击。

关于此攻击的新闻与社交网络报道

• NIST 加密阅读俱乐部 “驯服众多的 EdDSA” （2023 年 3 月 8 日）
• The Daily Swig “数十个加密库易受私钥窃取攻击” （2022 年 6 月 28 日）
• Risky Biz News “新的加密漏洞：数十个加密库错误实现了 Ed25519 数字签名算法” （2022 年 6 月 28 日）
• SafeHeron 博客文章 “Ed25519 使用风险分析：你的钱包私钥可能被盗” （2022 年 6 月 17 日）
• kryptera.se “大多数 ed25519 库中存在的漏洞”（瑞典语）（2022 年 6 月 29 日）
• Difesa e Sicurezza 与 Yoroi “可能不安全的 ed25519 加密库”（意大利语）（2022 年 7 月 1 日和 6 月 29 日）
• Bill Buchanan OBE 教授的 Medium 文章 “Ed25519 很棒，但是……” （2022 年 7 月 1 日）
• Reddit r/crypto （当月最佳帖子 - 2022 年 6 月 18 日）
• Reddit r/cryptography （2022 年 6 月 17 日）
• 相关推文：
  • 推文 1（由 Kostas Kryptos 发布 - “最初的 26 个易受攻击的库”）
  • 推文 2（由 Kostas Kryptos 发布 - “40 个易受攻击库的后续影响”）
  • 推文 3（由 Catalin Cimpanu 发布 - “40 个加密库受到相同 Ed25519 错误实现的影响”）
  • 推文 4（由 Kenny Paterson 发布 - “EdDSA 私钥恢复可能广泛存在，参见 http://kopenpgp.com，其中 OpenPGP 库中利用了相同的攻击向量”）
  • 推文 5（由 Steven Galbraith 发布 - “确定性签名的一个隐患：最好检查它是否是正确的公钥！”）
  • 推文 6（由 Riyaz Faizullabhoy 发布 - “如果你在生产环境中使用 EdDSA，请务必看一下”）
  • 推文 7（由 Bart Preneel 发布 - “提醒：安全且正确地实现加密算法是困难的”）。
• 涉及此攻击的 CTF（夺旗）挑战：
  • ImaginaryCTF - JWT25519 (200pts) （2022 年 6 月 30 日）

问题是什么？

请注意，通常情况下，根据相关的 rfc8032，EdDSA 签名是确定性的，因此对于要签名的同一输入消息，会返回一个唯一的签名输出，其中包含两个元素：一个曲线点 R 和一个标量 S。

一个算法细节是，签名者的公钥只参与签名中 S 部分的确定性计算，而不参与 R 值的计算。后者意味着，如果攻击者能以某种方式将签名函数用作预言机（Oracle，接受任意公钥作为输入），那么对于同一条消息，有可能获得两个共享相同 R、仅在 S 部分有所不同的签名。遗憾的是，一旦发生这种情况，攻击者就可以轻松提取私钥；这篇 StackOverflow 帖子 解释了为何这是可行的。

话虽如此，公共 API 不应允许将解耦的私钥/公钥对作为签名输入。为了规避这一点，许多实现将公钥与私钥（或种子）一起存储，并将整个密钥对视为秘密，或者总是在签名函数内部重新派生公钥。不幸的是，大量现有库未能解决这个问题，它们允许任意公钥作为输入，却不检查输入的公钥是否与输入的私钥对应。

当然，这并不意味着所有依赖这些库的应用程序都容易遭受密钥泄露攻击；实际上，大多数可能是安全的，因为通常不会向用户公开受影响的 API，并且会在调用 sign 之前将公钥/私钥对绑定在一起。另一方面，即使这些 API 未公开，也有一些应用程序在私钥和公钥的管理与存储方面采用了不同的 TCB 威胁模型策略。话虽如此，为防止此攻击，开发人员还应对公钥强制执行完整性保护协议。

在此，我们列出一些受影响的库及其相关代码引用。

图 1. ed25519-dalek Rust crate 中 API 误用的示例。

受影响的库

• C: OpenGNB
  https://github.com/gnbdev/opengnb/blob/master/libs/ed25519/sign.c#L7

• C: GNU Nettle
  https://github.com/gnutls/nettle/blob/fe7ae87d1b837e82f7c7968b068bca7d853a4cec/ed25519-sha512-sign.c#L43

• ASM/C: iroha-ed25519（Hyperledger 项目）
  https://github.com/hyperledger/iroha-ed25519/blob/main/lib/ed25519/ref10/ed25519.c#L27 以及 https://github.com/hyperledger/iroha-ed25519/blob/main/lib/ed25519/amd64-64-24k-pic/ed25519.c#L30

• C: ed25519-donna (Andrew Moon)
  https://github.com/floodyberry/ed25519-donna/blob/master/ed25519.c#L59

• C: ed25519 (Orson Peters)
  https://github.com/orlp/ed25519/blob/master/src/sign.c#L7

• C: libbrine (Kevin Smith)
  https://github.com/kevsmith/libbrine/blob/master/src/ed25519/sign.c#L7

• C++: Ed25519 (ArduinoLibs)
  https://rweather.github.io/arduinolibs/classEd25519.html#a36ecf67b4c5d2d39a31888f56af1f8a5

• C#: ed25519 (Hans Wolff)
  https://github.com/hanswolff/ed25519/blob/master/Ed25519/Ed25519.cs#L146

• C#: Ed25519 (CryptoManiac)
  https://github.com/CryptoManiac/Ed25519/blob/972829ac688847895d5105f19ca1e5777131b421/Chaos.NaCl/Internal/Ed25519Ref10/keypair.cs#L7

• Dart: ed25519_dart (Oleksii Semeshchuk)
  https://github.com/semolex/ed25519_dart/blob/master/lib/src/ed25519_dart_base.dart#L200

• Dart: riclava_ed25519 (riclava)
  https://github.com/riclava/ed25519/blob/master/lib/ed25519.dart#L125

• Clojure: ed25519 (Kevin Downey)
  https://github.com/hiredman/ed25519/blob/master/src/ed25519/core.clj#L168

• Haskell: hs-scraps (Vincent Hanquez)
  https://github.com/vincenthz/hs-scraps/blob/master/Crypto/Signature/Ed25519.hs#L115

• Java: ed25519-java (k3d3)
  https://github.com/k3d3/ed25519-java/blob/master/ed25519.java#L144

• Java: ed25519 (Bjorn Arnelid)
  https://github.com/BjornArnelid/ed25519/blob/master/src/ed25519/application/Ed25519.java#L32