Elliptische Kurven: Minerva-Angriff zielt auf zertifizierte Krypto-Chips

Forscher konnten zeigen, wie sie mit einem Timing-Angriff die privaten Schlüssel von Signaturen mit elliptischen Kurven auslesen konnten. Verwundbar sind Chips, deren Sicherheit eigentlich zertifiziert wurde.

Artikel veröffentlicht am ,
Nach der römischen Göttin Minerva wurde eine Sicherheitslücke in Signaturen mit elliptischen Kurven benannt.
Nach der römischen Göttin Minerva wurde eine Sicherheitslücke in Signaturen mit elliptischen Kurven benannt. (Bild: Wenceslaus Hollar, WIkimedia Commons)

Wenn Implementierungen von kryptographischen Signaturen mit elliptischen Kurven nicht vor Timing-Angriffen geschützt werden, kann ein Angreifer unter Umständen den privaten Schlüssel berechnen. Das zeigte ein tschechisches Forscherteam am Beispiel eines Krypto-Chips namens Athena. Auch mehrere Open-Source-Bibliotheken sind verwundbar. Die verwundbaren Chipkarten wurden nach FIPS und Common Criteria zertifiziert. Ihren Angriff nennen die Forscher Minerva.

Stellenmarkt
  1. Head of IT Project Services (m/f/d) EMEA
    Fresenius Medical Care, Bad Homburg vor der Höhe
  2. DevOps Engineer (m/f/d)
    Enote GmbH, Berlin
Detailsuche

Das Problem, das die Forscher hier angreifen, ist ein sogenannter Nonce-Wert, der bei der Erzeugung von Signaturen mit elliptischen Kurven benötigt wird. Dabei handelt es sich um einen Zahlenwert, der einmalig sein muss und den ein Angreifer nicht kennen darf. Wenn ein Angreifer diesen Wert kennt, lässt sich aus einer zugehörigen Signatur trivial der private Schlüssel errechnen.

Länge von Nonces reicht zur Berechnung des privaten Schlüssels

Bereits unvollständige Kenntnisse über den Nonce können für einen Angriff ausreichen, wenn man mehrere Signaturen hat. Genau das nutzen die Entdecker des Minerva-Angriffs: Anhand der Zeit, die eine Signaturoperation braucht, können sie Rückschlüsse auf die Bitlänge des Wertes ziehen. Ein größerer Wert braucht beim Berechnen der Signatur geringfügig länger. Das reicht bereits als Schwachstelle. Mit einigen Hundert bis einigen Tausend beobachteten Signaturen lässt sich ein Angriff durchführen.

Damit ein solcher Angriff funktionieren kann, muss man die Zeit, die eine Signaturoperation benötigt, sehr genau messen können. Als Angriffsziel suchten sich die Forscher daher zunächst Chipkarten. Krypto-Chipkarten sind oft so gebaut, dass man damit zwar Verschlüsselungs- und Signaturoperationen durchführen kann, die privaten Schlüssel sollen aber geschützt auf der Karte verbleiben und nicht extrahiert werden können.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    5.-6. Juli 2021, online
  2. Einführung in die Programmierung mit Rust
    21.-24. September 2021, online
Weitere IT-Trainings

Die verwundbaren Chips stammten von der Firma Athena, die vor einigen Jahren von NXP übernommen wurde. Neuere Produkte von NXP nutzen die entsprechende verwundbare Kryptobibliothek nicht mehr und sind daher nicht betroffen.

Bemerkenswert an der Lücke ist, dass die entsprechenden Chipkarten mehrere Sicherheitszertifizierungen erhielten. Einmal mehr wirft der Vorfall Fragen dazu auf, wie sinnvoll solche Zertifizierungen sind.

Zertifizierung sieht Timing-Sicherheit vor, sie wird aber nicht getestet

Die Chipkarten wurden nach dem US-Standard FIPS 140-2 zertifiziert. Dieser sieht zwar vor, dass entsprechende Algorithmenimplementierungen vor Timing-Angriffen geschützt werden. Es besteht aber kein Zwang, dies auch bei der Zertifizierung zu testen.

Ebenso wurden die Karten nach der in Europa üblichen Zertifizierung Common Criteria geprüft. Durchgeführt wurde diese Zertifizierung von der französischen Behörde ANSSI. Tatsächlich steht im entsprechenden Sicherheitsbericht, dass die entsprechende Funktion nicht Timing-sicher sei, aber da es optional eine weitere, Timing-sichere Implementierung gab, wurde die Zertifizierung trotzdem erteilt.

Der Minerva-Angriff stammt vom selben Forschungsinstitut, das 2017 die Sicherheitslücke ROCA in der RSA-Implementierung von Infineon-Chips gefunden hatte. Auch diese Chips waren zertifiziert - unter anderem vom deutschen BSI.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Luca-App
Wo ist das BSI, wenn man es mal braucht?

Während das BSI die Corona-Warn-App intensiv prüft, müssen das bei der Luca-App freiwillige Sicherheitsexperten übernehmen. Warum ist das so?
Eine Analyse von Friedhelm Greis und Moritz Tremmel

Luca-App: Wo ist das BSI, wenn man es mal braucht?
Artikel
  1. Prophete E-Bike Cargo: Aldi bringt elektrisches Lastenfahrrad mit Anschiebehilfe
    Prophete E-Bike Cargo
    Aldi bringt elektrisches Lastenfahrrad mit Anschiebehilfe

    Aldi hat das Prophete Cargo E-Bike ein Lastenfahrrad im Angebot. Damit können Kinder, Tiere und Einkäufe umweltfreundlich transportiert werden.

  2. KI: Wenn die Gesichtserkennung dich für Elon Musk hält
    KI
    Wenn die Gesichtserkennung dich für Elon Musk hält

    Einem israelischen Startup ist es gelungen, Fotos so zu verändern, dass Algorithmen zur Gesichtserkennung andere Personen identifizieren.

  3. Der Nachfolger von Windows 10: Windows 11 ist da
    Der Nachfolger von Windows 10
    Windows 11 ist da

    Nun ist es offiziell: Microsoft hat Windows 11 angekündigt. Vieles war bereits vorher bekannt, einiges Neues gibt es aber trotzdem.

M.P. 05. Okt 2019

Ich denke nicht, dass man anhand des Verhaltens der Karte in einem nicht manipulierten...

RaiseLee 04. Okt 2019

Zu merken wie dumm ich doch eigentlich bin wenn ich solche Artikel lese. Zum glück ist...

mnementh 04. Okt 2019

"Das zeigte ein tschechisches Forscherteam am Beispiel eines Krypto-Chips namens...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Alternate: Ryzen 7 5800 X 359€, Ryzen 5 5600 X 249€ • Gigabyte Z490M 119,90€ • Mega-Wiedereröffnung bei MediaMarkt - bis zu 30 Prozent Rabatt • Samsung SSD 980 Pro PCIe 4.0 1TB 166,59€ • Trust Gaming Audio-Zubehör für PC reduziert • Logitech Lenkrad-Sets zu Bestpreisen [Werbung]
    •  /