การอัปเดตในเดือนสิงหาคมป้องกันการรั่วไหลของกุญแจส่วนตัวที่สำคัญในกระเป๋าเงินคริปโต Vultisig

Vultisig ซึ่งเป็นกระเป๋าเงินคริปโตที่ใช้การลงนามร่วมกัน ได้จัดการสัญญาณหยุดที่สำคัญในกระบวนการลงนาม ECDSA ของตนอย่างไม่ถูกต้อง ตามที่นักวิจัยด้านความปลอดภัยที่ ChainSecurity พบ

การเปิดเผยเมื่อวันที่ 21 ตุลาคมของนักวิจัยอธิบายว่าการดำเนินการต่อหลังจากเกิดข้อผิดพลาดอาจทำให้ผู้ลงนามที่ถูกโจมตีไปแล้วสามารถกู้คืนกุญแจส่วนตัวทั้งหมดได้

ทั้งผู้ดูแลระบบ Android และ iOS ได้อธิบายโค้ดที่พยายามทำซ้ำหลังจากที่ไลบรารีระบุผู้เข้าร่วมที่เป็นอันตราย จากนั้นจึงเพิ่มการจัดการเพื่อหยุดการพยายามเหล่านั้นและเตือนผู้ใช้ การเปลี่ยนแปลงเหล่านี้ปรากฏในบันทึกการปล่อยของที่เก็บข้อมูลในภายหลัง

การต้องการอุปกรณ์หลายเครื่องจะให้การป้องกันได้ก็ต่อเมื่อซอฟต์แวร์รักษาข้อกำหนดนั้นไว้เมื่อผู้เข้าร่วมคนหนึ่งเริ่มทำผิดพลาด

กระเป๋าเงินการคำนวณหลายฝ่าย (MPC wallet) จะแบ่งอำนาจการลงนามระหว่างการแบ่งกุญแจ โดยต้องมีการแบ่งกุญแจเพียงพอที่ร่วมมือกันเพื่อสร้างลายเซ็นบล็อกเชนมาตรฐานโดยไม่ต้องประกอบกุญแจส่วนตัวทั้งหมดในระหว่างการดำเนินการปกติ

ในข้อตกลงที่ต้องการอุปกรณ์สองเครื่องซึ่งต้องการผู้เข้าร่วมทั้งสอง การโจมตีหนึ่งจะต้องทำให้ผู้โจมตีขึ้นอยู่กับการอนุมัติของอุปกรณ์อีกเครื่องหนึ่ง

ข้อบกพร่องที่เปิดเผยเกี่ยวข้องกับการลงนาม ECDSA และต้องการการโจมตีเริ่มต้นนั้น ผู้โจมตีสามารถส่งข้อความการลงนามที่เป็นอันตรายหลายข้อความและสังเกตว่าผู้ลงนามคนอื่นส่งกลับข้อผิดพลาดหรือไม่

การตอบสนองเหล่านั้นเปิดเผยบิตของเมล็ดพันธุ์โปรโตคอลภายในที่สามารถนำกลับมาใช้ใหม่ได้ ในที่สุดทำให้สามารถกู้คืนการแบ่งกุญแจอื่นและกุญแจทั้งหมดได้ ตามที่ ChainSecurity กล่าว

เมล็ดพันธุ์นั้นเป็นความลับในการตั้งค่าภายใน และไลบรารีได้สมมติว่าการลงนามเพิ่มเติมจะหยุดหลังจากเกิดข้อผิดพลาดที่สำคัญจนกว่าเมล็ดพันธุ์จะถูกหมุนเวียน แอปพลิเคชันแสดงข้อผิดพลาดทั่วไปและไม่ได้บังคับใช้การตอบสนองนั้น

กระบวนการ ECDSA ในอดีตของ Vultisig อาจรั่วไหลวัสดุกุญแจผ่านการตอบสนองข้อผิดพลาดที่ทำซ้ำ การอัปเดตในเดือนสิงหาคมหยุดการลองใหม่และระบุอุปกรณ์ที่ถูกโจมตี

ผลกระทบด้านความปลอดภัยคือความพยายามในการลงนามที่ล้มเหลวอาจมีความสำคัญแม้ว่าจะไม่ผลิตลายเซ็นธุรกรรมที่ใช้งานได้

หากการดำเนินการแลกเปลี่ยนเปิดเผยข้อมูลลับเพิ่มเติม การปฏิเสธธุรกรรมเพียงอย่างเดียวจะไม่รักษาการแยกที่สัญญาไว้ระหว่างผู้ลงนาม แอปพลิเคชันต้องตอบสนองต่อความล้มเหลวของโปรโตคอลเอง

สิ่งที่การเปลี่ยนแปลงในเดือนสิงหาคมแสดงให้เห็น

การเปลี่ยนแปลงใน Android (#5658) และการเปลี่ยนแปลงใน iOS (#5235) ถูกผนวกเข้าด้วยกันเมื่อวันที่ 21 สิงหาคม สองเดือนก่อนการเปิดเผยต่อสาธารณะ

คำอธิบายของพวกเขากล่าวว่าโค้ดเก่าเปรียบเทียบความล้มเหลวในการลงนามกับผลลัพธ์ที่ประสบความสำเร็จของไลบรารีโดยไม่จัดการข้อผิดพลาดการห้ามผู้เข้าร่วมที่เป็นอันตรายแยกต่างหาก รูทีนการลงนามสามารถลองใหม่ได้สูงสุดสามครั้ง ในขณะที่ผู้ใช้ได้รับข้อความความล้มเหลวทั่วไป

จำนวนการลองใหม่นั้นไม่ได้กำหนดว่าข้อความกี่ข้อความจะกู้คืนกุญแจ หรือจำนวนเซสชันที่ผู้โจมตีจะต้องการ

การเปลี่ยนแปลงโค้ด Android และการเปลี่ยนแปลง iOS รับรู้รหัสข้อผิดพลาดของผู้เข้าร่วมที่เป็นอันตราย 100--109 ของไลบรารีการลงนาม DKLS ในระหว่างการตั้งค่าเซสชัน การประมวลผลข้อความ และการเสร็จสิ้นลายเซ็น

ทั้งสองแผนที่ผู้เข้าร่วมที่ถูกทำเครื่องหมายไปยังตัวระบุอุปกรณ์ ส่งข้อผิดพลาดที่เฉพาะเจาะจงผ่านการลองใหม่อัตโนมัติ และแสดงคำเตือนที่แปลเป็นภาษาท้องถิ่นเกี่ยวกับการใช้อุปกรณ์นั้นอีกครั้ง บน Android ข้อยกเว้นยังข้ามการกู้คืนการส่งต่อ

การเปลี่ยนแปลงเหล่านั้นแสดงให้เห็นว่าแอปพลิเคชันแยกคำตัดสินทางการเข้ารหัสเกี่ยวกับผู้เข้าร่วมออกจากความล้มเหลวในการลงนามทั่วไป

พฤติกรรมการลองใหม่ที่เหมาะสมสำหรับความล้มเหลวชั่วคราวอาจกลายเป็นอันตรายเมื่อไลบรารีบอกผู้เรียกให้หยุดการโต้ตอบกับผู้ลงนามที่เป็นอันตราย

บันทึก GitHub สำหรับ iOS v1.45.71 ลงวันที่ 21 สิงหาคม ระบุ #5235 การปล่อย Android v1.0.118 ลงวันที่ 25 สิงหาคม ระบุ #5658.

จำนวนกระเป๋าเงินและขอบเขตการตรวจสอบต้องมีบริบท

คำอธิบายของตู้นิรภัยของ Vultisig แยกแยะว่าใครควบคุมผู้ลงนาม Vault ที่รวดเร็วใช้หนึ่งอุปกรณ์ของผู้ใช้โดยที่ VultiServer ถือการแบ่งกุญแจที่สองและร่วมลงนาม Vault ที่ปลอดภัยใช้สองหรือมากกว่าของอุปกรณ์ที่ผู้ใช้ถือโดยไม่มี VultiServer

กระเป๋าเงินที่ช่วยเหลือจากผู้ให้บริการและกระเป๋าเงินที่กระจายอยู่ทั่วอุปกรณ์ของผู้ใช้สามารถใช้การลงนามแบบกระจายได้ แต่ความต้องการในการดำเนินงานของพวกเขาจะแตกต่างกัน ผู้เข้าร่วมสองคนในการแลกเปลี่ยนการลงนามก็ไม่จำเป็นต้องหมายความว่าตู้นิรภัยมีเพียงสองการแบ่งกุญแจโดยรวม

การเปิดเผยและเอกสารการใช้งานที่ตรวจสอบแล้วไม่ได้ให้ตารางเวอร์ชันที่ได้รับผลกระทบและการกำหนดค่าตู้นิรภัยอย่างครบถ้วน

เอกสารด้านความปลอดภัยของ Vultisig กล่าวว่า Trail of Bits ได้ตรวจสอบไลบรารี Silence Laboratories DKLS23 ในปี 2024 โดยกล่าวว่ารายงานการตรวจสอบแอปพลิเคชันมือถือและเดสก์ท็อปจะถูกเชื่อมโยงเมื่อเผยแพร่

เมื่อเปิดเผย ChainSecurity กล่าวว่าไม่ได้ตรวจสอบการแก้ไขของ Vultisig หรือการตรวจสอบส่วนอื่น ๆ ของโปรโตคอล ดังนั้นการแก้ไขจึงยังคงอยู่นอกการประเมินนั้น

รายละเอียดการแก้ไขที่มีประโยชน์จะเชื่อมโยงการกำหนดค่าที่ได้รับผลกระทบกับเวอร์ชันที่ส่งออกและอธิบายการบังคับใช้หลังจากการเริ่มต้นใหม่ทั้งอัตโนมัติและที่ผู้ใช้เริ่มต้น การตรวจสอบที่ครอบคลุมพฤติกรรมเหล่านั้นจะจัดการกับความล้มเหลวในระดับแอปพลิเคชันที่อธิบายไว้ที่นี่

ผู้ถือการป้องกันได้รับการสัญญาว่าการบังคับใช้นั้นขึ้นอยู่กับแอปพลิเคชันที่บังคับใช้เงื่อนไขหยุดของไลบรารีตลอดการลงนาม รวมถึงเมื่อผู้ใช้เริ่มใหม่หลังจากความล้มเหลว.