Cập nhật tháng Tám ngăn chặn rò rỉ khóa riêng tư quan trọng trong ví tiền điện tử Vultisig

Vultisig, một ví tiền điện tử sử dụng chữ ký chia sẻ, đã xử lý sai một tín hiệu dừng quan trọng trong việc triển khai chữ ký ECDSA của mình, như các nhà nghiên cứu bảo mật tại ChainSecurity đã phát hiện.

Thông báo của các nhà nghiên cứu vào ngày 21 tháng 10 mô tả cách tiếp tục sau lỗi có thể cho phép một người ký đã bị xâm phạm khôi phục toàn bộ khóa riêng.

Cả hai nhà phát triển Android và iOS đã mô tả mã mà đã thử lại sau khi thư viện xác định một người tham gia độc hại, sau đó thêm xử lý để dừng những lần thử lại đó và cảnh báo người dùng. Những thay đổi này xuất hiện trong ghi chú phát hành kho lưu trữ tiếp theo.

Yêu cầu nhiều thiết bị chỉ cung cấp bảo vệ nếu phần mềm duy trì yêu cầu đó khi một người tham gia bắt đầu hành xử sai.

Một ví tính toán đa bên (MPC wallet) phân phối quyền ký giữa các phần khóa. Đủ các phần hợp tác để tạo ra một chữ ký blockchain tiêu chuẩn mà không cần lắp ráp toàn bộ khóa riêng trong quá trình hoạt động bình thường.

Trong một cấu hình hai thiết bị yêu cầu cả hai người tham gia, việc xâm phạm một thiết bị nên khiến kẻ tấn công phụ thuộc vào sự chấp thuận của thiết bị còn lại.

Lỗi được công bố liên quan đến chữ ký ECDSA và yêu cầu sự xâm phạm ban đầu. Một kẻ tấn công có thể gửi nhiều thông điệp ký độc hại và quan sát xem người ký khác có trả về lỗi hay không.

Những phản hồi đó đã tiết lộ các bit của một hạt giống giao thức nội bộ có thể tái sử dụng, cuối cùng cho phép khôi phục phần còn lại và toàn bộ khóa, theo ChainSecurity.

Hạt giống đó là một bí mật thiết lập nội bộ, và thư viện giả định rằng việc ký tiếp theo sẽ dừng lại sau lỗi quan trọng cho đến khi hạt giống được xoay vòng. Ứng dụng hiển thị một lỗi chung và không thực thi phản hồi đó.

Luồng ECDSA lịch sử của Vultisig có thể rò rỉ vật liệu khóa thông qua các phản hồi lỗi lặp lại; các cập nhật vào tháng Tám hiện dừng các lần thử lại và xác định thiết bị bị xâm phạm.

Hệ quả bảo mật là một nỗ lực ký thất bại có thể quan trọng ngay cả khi nó không tạo ra chữ ký giao dịch có thể sử dụng.

Nếu việc tiếp tục trao đổi tiết lộ thêm thông tin bí mật, việc từ chối giao dịch một mình không bảo tồn sự tách biệt đã hứa giữa các người ký. Ứng dụng phải phản hồi với chính sự cố giao thức.

Những gì các thay đổi tháng Tám chứng minh

Thay đổi Android (#5658) và thay đổi iOS (#5235) đều được hợp nhất vào ngày 21 tháng 8, hai tháng trước khi công bố công khai.

Mô tả của chúng nói rằng mã cũ đã so sánh các lỗi ký với kết quả thành công của thư viện mà không xử lý riêng các lỗi cấm bên độc hại. Các quy trình ký có thể thử lại lên đến ba lần, trong khi người dùng nhận được một thông điệp thất bại chung.

Số lần thử lại đó không xác định được bao nhiêu thông điệp sẽ khôi phục một khóa, hoặc bao nhiêu phiên mà một kẻ tấn công sẽ cần.

Các thay đổi mã Android và các thay đổi iOS nhận ra các mã lỗi bên độc hại của thư viện ký DKLS trong quá trình thiết lập phiên, xử lý thông điệp và hoàn thành chữ ký.

Cả hai đều ánh xạ người tham gia bị đánh dấu đến một định danh thiết bị, mang một lỗi chuyên dụng vượt qua các lần thử lại tự động, và hiển thị một cảnh báo địa phương chống lại việc sử dụng thiết bị đó một lần nữa. Trên Android, ngoại lệ cũng bỏ qua việc khôi phục relay.

Cùng nhau, những thay đổi đó cho thấy rằng các ứng dụng phân biệt một phán quyết mật mã về một người tham gia với một lỗi ký thông thường.

Hành vi thử lại phù hợp cho một lỗi tạm thời có thể trở nên nguy hiểm khi thư viện đang nói với người gọi để dừng tương tác với một người ký độc hại.

Ghi chú GitHub cho iOS v1.45.71, ngày 21 tháng 8, liệt kê #5235. Phát hành Android v1.0.118, ngày 25 tháng 8, liệt kê #5658.

Số lượng ví và phạm vi kiểm toán cần ngữ cảnh

Mô tả kho của Vultisig phân biệt ai kiểm soát các người ký. Fast Vault sử dụng một thiết bị người dùng với VultiServer giữ phần còn lại và đồng ký. Secure Vault sử dụng hai hoặc nhiều thiết bị do người dùng nắm giữ mà không có VultiServer.

Một ví được hỗ trợ bởi nhà cung cấp và một ví phân tán trên các thiết bị của chính người dùng đều có thể sử dụng ký phân tán, nhưng các phụ thuộc hoạt động của chúng khác nhau. Hai người tham gia trong một trao đổi ký cũng không nhất thiết có nghĩa là kho chỉ có hai phần tổng cộng.

Các tài liệu công bố và ứng dụng được xem xét không cung cấp một ma trận phiên bản bị ảnh hưởng đầy đủ và cấu hình kho.

Tài liệu bảo mật của Vultisig cho biết Trail of Bits đã kiểm toán thư viện DKLS23 của Silence Laboratories vào năm 2024. Nó cho biết các báo cáo kiểm toán ứng dụng di động và máy tính để bàn sẽ được liên kết khi được công bố.

Tại thời điểm công bố, ChainSecurity cho biết họ chưa xem xét các bản sửa lỗi của Vultisig hoặc kiểm toán các phần khác của giao thức, vì vậy các bản sửa lỗi vẫn nằm ngoài đánh giá đó.

Các chi tiết khắc phục hữu ích sẽ kết nối các cấu hình bị ảnh hưởng với các phiên bản đã phát hành và giải thích việc thực thi sau cả khởi động lại tự động và khởi động lại do người dùng khởi xướng. Một đánh giá bao gồm những hành vi đó sẽ giải quyết sự cố cấp ứng dụng được mô tả ở đây.

Các người nắm giữ bảo vệ được hứa hẹn rằng việc thực thi phụ thuộc vào ứng dụng thực thi điều kiện dừng của thư viện trong suốt quá trình ký, bao gồm cả khi người dùng bắt đầu lại sau một lỗi.