[論文レビュー] How Perfect Offline Wallets Can Still Leak Bitcoin Private Keys

Stephan Verbücheln|arXiv (Cornell University)|Jan 2, 2015

Cryptography and Data Security参考文献 3被引用数 5

ひとこと要約

この論文は、ECDSA署名が、空気ギャップで隔離されたオフラインウォレットであっても、非決定的ランダムネス選択によって秘密鍵を漏洩させる可能性があることを示している。悪意ある実装がランダムネス生成プロセスに隠れたトラップドアを埋め込むことで、暗号的に正当な署名と区別できない形で秘密鍵を外部に漏洩させることができる。

ABSTRACT

ECDSA has become a popular choice as lightweight alternative to RSA and classic DL based signature algorithms in recent years. As standardized, the signature produced by ECDSA for a pair of a message and a key is not deterministic. This work shows how this non-deterministic choice can be exploited by an attacker to leak private information through the signature without any side channels, an attack first discovered by Young and Yung for classic DL-based cryptosystems in 1997, and how this attack affects the application of ECDSA in the Bitcoin protocol.

研究の動機と目的

• BitcoinのようなECDSAベースのシステムにおける深刻な脆弱性を暴露すること。非決定的署名が悪用され、秘密鍵が漏洩する可能性があること。
• 署名実装が悪意あるバックドアを仕込んでいる場合、空気ギャップで隔離されたオフラインウォレットでも安全ではないことを示すこと。
• 攻撃者が生成した署名が誠実な署名と多項式的に区別できないため、ユーザーおよび第三者による検出が不可能であることを示すこと。
• 楕円曲線暗号に実用的なクレプトグラフィック（kleptographic）設定を提案し、署名解析を通じて秘密鍵を抽出可能にする仕組みを構築すること。
• Bitcoinウォレットやハードウェアセキュリティモジュールのような高セキュリティアプリケーションにおいて、検証可能な実装の必要性を強調すること。

提案手法

• 悪意あるECDSA実装が署名プロセス中にnonce（ランダム数）の選択に秘密情報を埋め込むクレプトグラフィック設定を用いる。
• 秘密のシードを備えた隠れた擬似乱数生成器を用い、nonceが楕円曲線演算を通じて秘密鍵と数学的に関連付けられるようにする。
• 署名生成プロセスを設計し、最初の出力（M₁）を曲線上の標準的な点とし、2番目の出力（M₂）をM₁と公開鍵の組み合わせに固定定数を適用して得る。
• 攻撃者は、2つの連続する署名から、隠れた定数と署名部品を含む方程式系を解くことで、後で秘密鍵を回復できる。
• 署名者と監視者（supervisor）の2者によるプロトコルを提案し、事前に共有されたコミットメントリストを用いてnonceの正しさを検証することで漏洩を防ぐ。
• T_i値の事前合意されたリストを用いたプロトコルを導入し、秘密鍵を暴露せずにnonceの正しさを検証可能にするとともに、漏洩に対する安全性を維持する。

実験結果

リサーチクエスチョン

• RQ1 完全にオフラインでネットワーク接続のない状態のBitcoinウォレットにおいても、ECDSA署名が秘密鍵を漏洩させる可能性はあるか？
• RQ2 ECDSAの実装がランダムネス生成プロセスにトラップドアを隠す場合、検出されないままどれほどまで悪意を隠せるか？
• RQ3 攻撃者が署名から秘密鍵を抽出可能でありながら、誠実な署名と区別できないECDSA用のクレプトグラフィック設定を構築可能か？
• RQ4 署名デバイス自体がバックドアを仕込んでいる可能性がある場合、オフライン署名のセキュリティをどのように維持できるか？
• RQ5 空気ギャップ環境において、このような鍵漏洩攻撃を検出または防止できる実用的プロトコルはどのように設計できるか？

主な発見

• 悪意あるECDSA実装は、署名生成時にnonceの選択に秘密鍵の情報を埋め込むことができ、サイドチャネルを一切使用せずに長期的な鍵回復が可能である。
• 得られる署名は、正しく動作する実装が出力する署名と計算的に区別できないため、ユーザーおよび第三者による検出は不可能である。
• 空気ギャップ環境、例えばオフラインBitcoinウォレットやハードウェアセキュリティモジュールであっても、署名出力そのものから秘密鍵を外部に漏洩させることができる。
• 攻撃は標準的なECDSAパラメータで実現可能であり、署名プロセスへのわずかな変更で済むため、巧妙で検知が困難である。
• 監視者と事前共有コミットメントを用いた2者プロトコルにより、秘密データを暴露せずにnonceの正しさを検証可能となり、このような漏洩を防止できる。
• これらの発見は、ユーザーが完全に検証できないECDSA実装（特に閉鎖型または組み込み型のスマートカードやBitcoinハードウェアウォレットなど）には信頼できないことを示唆する。