Janos Follath による報告：

Mbed TLSには、定数時間/定数トレース算術ライブラリがなく、サイドチャネル攻撃から保護するためにブラインディングを使用します。

以前のバージョンのMbed TLSのECDSA署名ルーチンでは、エフェメラルキーペアの生成とブラインディング値の生成に同じRNGオブジェクトを使用していました。決定論的ECDSA関数は、秘密鍵から作成されたRNGオブジェクトと、RFC 6979で規定されているように署名されるメッセージを渡すことで、これを再利用していました。これは、同じメッセージが署名されるたびに同じRNGオブジェクトが使用され、ブラインディングが無効になることを意味します。

被害者がだまされて、同じメッセージに繰り返し署名する場合、秘密鍵はサイドチャネルを通じて復元できる可能性があります。

検出

FreeBSD：Mbed TLS -- 決定論的ECDSAでのサイドチャネル攻撃（1c948fd3-dac0-11e9-81b2-0011d823eebd）

high Nessus プラグイン ID 129084

変更ログが見つかりません