Оновлення серпня блокують критичну витік приватного ключа у криптогаманець Vultisig

Vultisig, криптогаманець, що використовує спільне підписання, неправильно обробив критичний сигнал зупинки у своїй реалізації підписання ECDSA, як виявили дослідники безпеки з ChainSecurity.

Розкриття дослідників від 21 жовтня описує, як продовження після помилки може дозволити вже скомпрометованому підписувачу відновити повний приватний ключ.

Як Android, так і iOS розробники описали код, який повторював спроби після того, як бібліотека виявила зловмисного учасника, а потім додали обробку для зупинки цих повторів і попередження користувача. Зміни з'явилися в наступних нотатках до випуску репозиторію.

Вимога кількох пристроїв забезпечує захист лише в тому випадку, якщо програмне забезпечення зберігає цю вимогу, коли один з учасників починає погано поводитися.

Гаманець з багатопартійним обчисленням (MPC гаманець) розподіляє повноваження підписання між частинами ключа. Достатня кількість частин співпрацює, щоб створити стандартний підпис блокчейну без збору повного приватного ключа під час нормальної роботи.

У схемі з двома пристроями, що вимагає участі обох учасників, компрометація одного повинна залишити зловмисника залежним від схвалення іншого пристрою.

Виявлена помилка стосувалася підписання ECDSA і вимагала початкової компрометації. Зловмисник міг надіслати багато зловмисних підписних повідомлень і спостерігати, чи повернув інший підписувач помилку.

Ці відповіді виявили частини повторно використовуваного внутрішнього насіння протоколу, що в кінцевому підсумку дозволило відновити іншу частину та повний ключ, згідно з ChainSecurity.

Це насіння є внутрішнім секретом налаштування, і бібліотека припускала, що подальше підписання зупиниться після критичної помилки, поки насіння не буде змінено. Додаток відображав загальну помилку і не забезпечував виконання цієї відповіді.

Історичний потік ECDSA Vultisig міг витікати матеріал ключа через повторні відповіді на помилки; оновлення серпня тепер зупиняють повтори та ідентифікують скомпрометований пристрій.

Безпекові наслідки полягають у тому, що невдала спроба підписання може мати значення, навіть якщо вона не виробляє жодного корисного підпису транзакції.

Якщо продовження обміну виявляє більше секретної інформації, відмова від транзакції сама по собі не зберігає обіцяне розділення між підписувачами. Додаток повинен реагувати на саму помилку протоколу.

Що демонструють зміни серпня

Зміни для Android (#5658) та iOS (#5235) були об'єднані 21 серпня, за два місяці до публічного розкриття.

Їхні описи вказують, що старий код порівнював невдачі підписання з успішним результатом бібліотеки без окремої обробки помилок заборони зловмисної сторони. Процедури підписання могли повторюватися до трьох разів, тоді як користувач отримував загальне повідомлення про невдачу.

Ця кількість повторів не встановлює, скільки повідомлень потрібно для відновлення ключа, або скільки сесій потрібно зловмиснику.

Зміни коду Android та зміни iOS визнають коди помилок зловмисної сторони бібліотеки підписання DKLS 100--109 під час налаштування сесії, обробки повідомлень та завершення підпису.

Обидва відображають позначеного учасника на ідентифікатор пристрою, несуть спеціальну помилку через автоматичні повтори та відображають локалізоване попередження про повторне використання цього пристрою. На Android виключення також обходить відновлення реле.

Разом ці зміни показують, що додатки розрізняють криптографічний вердикт про учасника від звичайної невдачі підписання.

Повторна поведінка, що підходить для тимчасової невдачі, може стати небезпечною, коли бібліотека говорить виклику зупинити взаємодію з зловмисним підписувачем.

Примітки GitHub для iOS v1.45.71, датовані 21 серпня, перераховують #5235. Випуск Android v1.0.118, датований 25 серпня, перераховує #5658.

Кількість гаманців та обсяг аудиту потребують контексту

Опис гаманців Vultisig розрізняє, хто контролює підписувачів. Fast Vault використовує один пристрій користувача, а VultiServer утримує другу частину та підписує. Secure Vault використовує два або більше пристроїв, що належать користувачу, без VultiServer.

Гаманець з підтримкою провайдера та гаманець, розподілений між власними пристроями користувача, можуть обидва використовувати розподілене підписання, але їх операційні залежності відрізняються. Два учасники в обміні підписанням також не означають, що у сховищі є лише дві частини в цілому.

Розглянуте розкриття та матеріали додатка не надають повної матриці версій, що підлягають впливу, та конфігурацій сховища.

Документація безпеки Vultisig говорить, що Trail of Bits перевірив бібліотеку Silence Laboratories DKLS23 у 2024 році. Вона говорить, що звіти про аудит мобільних та настільних додатків будуть пов'язані, коли будуть опубліковані.

На момент розкриття ChainSecurity заявила, що не перевіряла виправлення Vultisig або не перевіряла інші частини протоколу, тому виправлення залишалися поза цією оцінкою.

Корисні деталі про виправлення пов'язували б конфігурації, що підлягають впливу, з випущеними версіями та пояснювали б виконання після автоматичних і ініційованих користувачем перезапусків. Огляд, що охоплює ці поведінки, вирішив би описану тут невдачу на рівні додатка.

Обіцяно, що захист залежить від виконання додатком умови зупинки бібліотеки протягом усього підписання, включаючи, коли користувачі починають знову після невдачі.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.