Vultisigの暗号ウォレットにおける重要なプライベートキー漏洩を防ぐ8月のアップデート

Vultisigは、共有署名を使用する暗号ウォレットであり、ChainSecurityのセキュリティ研究者によって、ECDSA署名実装における重要な停止信号の取り扱いを誤ったことが発見されました。

研究者たちの10月21日の開示では、エラーの後に続行することで、すでに侵害された署名者が完全なプライベートキーを回復できる可能性があることが説明されています。

AndroidおよびiOSのメンテナーは、ライブラリが悪意のある参加者を特定した後に再試行するコードを記述し、その後、再試行を停止し、ユーザーに警告する処理を追加しました。これらの変更は、後のリポジトリのリリースノートに現れています。

複数のデバイスを必要とすることは、1つの参加者が不正行為を始めたときに、その要件がソフトウェアによって保持される場合にのみ保護を提供します。

マルチパーティ計算ウォレット（MPCウォレット）は、署名権限をキーシェア間で分配します。十分なシェアが協力して、通常の操作中に完全なプライベートキーを組み立てることなく、標準のブロックチェーン署名を生成します。

2つのデバイスの配置では、両方の参加者が必要であり、1つを侵害されると、攻撃者は他のデバイスの承認に依存することになります。

開示された欠陥はECDSA署名に関与し、初期の侵害が必要でした。攻撃者は多くの悪意のある署名メッセージを送信し、他の署名者がエラーを返すかどうかを観察することができました。

その応答は再利用可能な内部プロトコルシードのビットを明らかにし、最終的には他のシェアと完全なキーの回復を可能にしましたとChainSecurityは述べています。

そのシードは内部設定の秘密であり、ライブラリは重要なエラーの後にさらなる署名が停止することを想定していましたが、シードが回転するまで停止しませんでした。アプリケーションは一般的なエラーを表示し、その応答を強制しませんでした。

Vultisigの歴史的なECDSAフローは、繰り返しのエラー応答を通じてキー素材を漏洩させる可能性があり、8月のアップデートでは再試行を停止し、侵害されたデバイスを特定します。

セキュリティの結果は、失敗した署名試行が、使用可能なトランザクション署名を生成しない場合でも重要である可能性があるということです。

交換を続けることでより多くの秘密情報が明らかになる場合、トランザクションを拒否するだけでは署名者間の約束された分離を保持することはできません。アプリケーションはプロトコルの失敗自体に応答する必要があります。

8月の変更が示すもの

Androidの変更（#5658）とiOSの変更（#5235）は、どちらも8月21日にマージされ、公開開示の2ヶ月前でした。

それらの説明によれば、古いコードは署名の失敗をライブラリの成功結果と比較し、悪意のある参加者の禁止エラーを別々に処理していませんでした。署名ルーチンは最大3回再試行でき、ユーザーは一般的な失敗メッセージを受け取っていました。

その再試行回数は、キーを回復するために必要なメッセージの数や、攻撃者が必要とするセッションの数を確立するものではありません。

Androidのコード変更とiOSの変更は、セッションのセットアップ、メッセージ処理、および署名の完了中にDKLS署名ライブラリの悪意のある参加者エラーコード100--109を認識します。

両方とも、フラグが付けられた参加者をデバイス識別子にマッピングし、自動再試行を超えて専用のエラーを持ち、そのデバイスを再度使用しないようにローカライズされた警告を表示します。Androidでは、例外はリレー回復もバイパスします。

これらの変更は、アプリが参加者に関する暗号的な判断を通常の署名の失敗から区別することを示しています。

一時的な失敗に適した再試行動作は、ライブラリが呼び出し元に悪意のある署名者との相互作用を停止するように指示しているときに危険になる可能性があります。

iOS v1.45.71のGitHubノートは、8月21日付けで#5235をリストしています。Android v1.0.118のリリースは、8月25日付けで#5658をリストしています。

ウォレットのカウントと監査範囲には文脈が必要

Vultisigのボールトの説明は、誰が署名者を制御しているかを区別します。Fast Vaultは、1つのユーザーデバイスを使用し、VultiServerが2つ目のシェアを保持し、共同署名します。Secure Vaultは、VultiServerなしで2つ以上のユーザーデバイスを使用します。

プロバイダー支援のウォレットとユーザー自身のデバイスに分散されたウォレットは、どちらも分散署名を使用できますが、その運用依存関係は異なります。署名交換における2つの参加者が、ボールトが合計で2つのシェアしか持たないことを意味するわけではありません。

レビューされた開示およびアプリケーション資料は、完全な影響を受けたバージョンおよびボールト構成マトリックスを提供していません。

Vultisigのセキュリティ文書によれば、Trail of Bitsは2024年にSilence Laboratories DKLS23ライブラリを監査したとされています。モバイルおよびデスクトップアプリケーションの監査報告書は、公開時にリンクされるとされています。

開示時にChainSecurityは、Vultisigの修正をレビューしていないか、プロトコルの他の部分を監査していないと述べたため、修正はその評価の外に残っていました。

有用な修正詳細は、影響を受けた構成を出荷されたバージョンに接続し、自動およびユーザー主導の再起動後の強制を説明する必要があります。これらの動作をカバーするレビューは、ここで説明されたアプリケーションレベルの失敗に対処するでしょう。

保護者は、強制が署名全体にわたってライブラリの停止条件をアプリケーションが強制することに依存することが約束されています。