1.4.16 以前の GnuPG 1.xは、特定のパターンのある導入部のシーケンスを使用して RSA 鍵を生成するために、サイドチャネルを導入してしまい、物理的に近接した攻撃者が選択型暗号化テキスト攻撃および復号化中の音響暗号解析 (acoustic cryptanalysis) を介して、RSA 鍵を抽出する可能性があります。
注: アプリケーションは、音響サイドチャネル攻撃から自身を保護することを一般に想定されていません。これは間違いなく物理デバイスの責任であるからです。このためにこの種の問題は、通常は CVE 識別子を受けません。しかしながら、この問題のために、開発者は、セキュリティポリシーを指定しており、その中で、GnuPG はサイドチャネル抵抗性を提供し、開発者指定のセキュリティ違反を CVE の範囲内にする必要があります。

1 つのセキュリティ問題を修正する更新済みの gnupg パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

GNU Privacy Guard（GnuPG または GPG）は、データを暗号化し、デジタル署名を作成するためのツールであり、提案された OpenPGP インターネット標準および S/MIME 標準に準拠しています。

GnuPG は、アコースティック暗号解析を介したサイドチャネル攻撃に脆弱であることがわかりました。暗号文を復号しているターゲットシステムの近くにいる攻撃者がこの欠陥を利用して、そのシステムから RSA 秘密キーを復元する可能性があります。（CVE-2013-4576）

Red Hat は、この問題を報告してくれた GnuPG Upstream の Werner Koch 氏に感謝の意を表します。Upstream は、Genkin 氏、Shamir 氏、および Tromer 氏を最初の報告者として認識しています。

gnupg の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、この問題を修正することが推奨されます。

Werner Koch 氏による報告：

CVE-2013-4576 がこのセキュリティバグに割り当てられました。

文書で 2 つの攻撃が説明されています。最初の攻撃ではキーを見分けることができます。攻撃者は、現在復号化のためにどのキーが使用されているかを知ることができます。これは一般には問題ではありませんが、一般に使用されない鍵で暗号化されたメッセージを、標的にされたマシンが受信したという情報を漏洩させるために利用できます。この攻撃を緩和するソフトウェアソリューションは我々にはありません。

2 番目の攻撃はより深刻です。これは、秘密鍵を公開する、適応的選択暗号文攻撃です。可能性のあるシナリオとして、攻撃者は、ターゲットマシンの周辺にセンサー（通常のスマートフォンなど）を配置します。そのマシンが、例えば、すぐに読まれることが想定されるメールを自身の都合の良いように復号化することで,ブラウズを高速化するメールクライアントを使用して、受信したメールの RSA 復号化を自動的に行うと仮定します。ターゲットマシンが発する音を聞きながら、スマートフォンが暗号化した新しいメッセージをそのマシンに送り、秘密鍵をビット単位で再現します。ノート PC で使用される 4096 ビットの RSA キーは、1 時間以内に漏洩する可能性があります。

Daniel Genkin 氏、Adi Shamir 氏、および Eran Tromer 氏は、GnuPG が発生音を介するアダプティブ選択型暗号化テキスト攻撃の影響を受けやすいことを発見しました。ローカルの攻撃者がこの攻撃を利用して、秘密鍵を復元する可能性があります。

Red Hat セキュリティアドバイザリ 2014:0016 から：

1 つのセキュリティ問題を修正する更新済みの gnupg パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

GNU Privacy Guard（GnuPG または GPG）は、データを暗号化し、デジタル署名を作成するためのツールであり、提案された OpenPGP インターネット標準および S/MIME 標準に準拠しています。

GnuPG は、アコースティック暗号解析を介したサイドチャネル攻撃に脆弱であることがわかりました。暗号文を復号しているターゲットシステムの近くにいる攻撃者がこの欠陥を利用して、そのシステムから RSA 秘密キーを復元する可能性があります。（CVE-2013-4576）

Red Hat は、この問題を報告してくれた GnuPG Upstream の Werner Koch 氏に感謝の意を表します。Upstream は、Genkin 氏、Shamir 氏、および Tromer 氏を最初の報告者として認識しています。

gnupg の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、この問題を修正することが推奨されます。

Genkin、Shamir、Tromer は、いくつかの選択された暗号文の復号化中にコンピューターによって生成されたサウンドを使用して RSA キーマテリアルが抽出される可能性があることを発見しました。

セキュリティ問題を修正する新しい gnupg パッケージが、Slackware 13.0、13.1、 13.37、14.0、14.1、および最新版で利用可能です。

gnupg で次の脆弱性が発見され、訂正されました：

Genkin、Shamir、Tromer は、いくつかの選択された暗号文の復号化中にコンピュータによって生成されたサウンドを使用して RSA キーマテリアルが抽出される可能性があることを発見しました（CVE-2013-4576）。

この問題を修正する更新済みパッケージが適用されています。

新着情報 ===========

- Genkin 氏、Shamir 氏、および Tromer 氏により指摘された、低帯域幅アコースティック暗号解析攻撃による RSA キーの抽出を修正しました。<http://www.cs.tau.ac.il/~tromer/acoustic/> を参照してください。[CVE-2013-4576]

- デフォルトでは、armored 形式の出力にのみメジャーバージョン番号を追記します。

- --trust-model=always を使用する場合、trustdb ファイルを作成しません。

- --list-packets でキーパケットの keyid を出力します。

- 1.4.14 での変更によるわずかなパフォーマンス劣化を回復するために、モジュール累乗アルゴリズムを変更しました。

セキュリティの問題の影響 ==============================

CVE-2013-4576 がこのセキュリティバグに割り当てられました。

文書では 2 つの攻撃を説明しています。最初の攻撃ではキーを見分けることができます。攻撃者は、復号化に現在どのキーが使用されているかを知ることができます。一般的に、これは問題ではありませんが、これを利用して、ターゲットマシンが一般的に使用されないキーに暗号化されたメッセージを受信したという情報が漏洩する場合があります。弊社には、この攻撃を緩和するためのソフトウェアによるソリューションがありません。

2 番目の攻撃はより深刻です。これは、秘密鍵を公開する、適応的選択暗号文攻撃です。可能性のあるシナリオとして、攻撃者は、ターゲットマシンの周辺にセンサー（通常のスマートフォンなど）を配置します。そのマシンが、例えば、すぐに読まれることが想定されるメールを自身の都合の良いように復号化することでブラウズを高速化するメールクライアントを使用して、受信したメールの RSA 復号化を自動的に行うと仮定します。ターゲットマシンが発する音を聞きながら、スマートフォンが暗号化した新しいメッセージをそのマシンに送り、秘密鍵をビット単位で再現します。ノート PC で使用される 4096 ビットの RSA キーは、1 時間以内に漏洩する可能性があります。

GnuPG 1.4.16 は、復号化の過程で RSA ブラインディングを採用することでこの攻撃を回避します。GnuPG 2.x および最新の Gpg4win バージョンは、 RSA ブラインディングを採用する Libgcrypt を利用することで、脆弱性がなくなっています。

アコースティック暗号解析に関する興味深い研究、および攻撃の詳細については、 http://www.cs.tau.ac.il/~tromer/acoustic/ を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

GnuPG は、アコースティック暗号解析を介したサイドチャネル攻撃に脆弱であることがわかりました。暗号文を復号しているターゲットシステムの近くにいる攻撃者がこの欠陥を利用して、そのシステムから RSA 秘密キーを復元する可能性があります。（CVE-2013-4576）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
72296	Amazon Linux AMI：gnupg (ALAS-2014-278)	Nessus	Amazon Linux Local Security Checks	2014/2/5	2018/4/18	low
71878	RHEL 5：gnupg（RHSA-2014:0016）	Nessus	Red Hat Local Security Checks	2014/1/9	2021/1/14	low
71529	FreeBSD：gnupg -- 低帯域幅音響暗号解析攻撃を介する RSA 鍵抽出（2e5715f8-67f7-11e3-9811-b499baab0cbe）	Nessus	FreeBSD Local Security Checks	2013/12/19	2021/1/6	low
71532	Ubuntu 10.04 LTS / 12.04 LTS / 12.10 / 13.04 / 13.10：gnupg の脆弱性（USN-2059-1）	Nessus	Ubuntu Local Security Checks	2013/12/19	2019/9/19	low
71876	Oracle Linux 5：gnupg（ELSA-2014-0016）	Nessus	Oracle Linux Local Security Checks	2014/1/9	2021/1/14	low
71526	Debian DSA-2821-1：gnupg - サイドチャネル攻撃	Nessus	Debian Local Security Checks	2013/12/19	2021/1/11	low
71573	Slackware 13.0/13.1/13.37/14.0/14.1/最新版：gnupg（SSA：2013-354-01）	Nessus	Slackware Local Security Checks	2013/12/23	2021/1/14	low
71866	CentOS 5：gnupg（CESA-2014:0016）	Nessus	CentOS Local Security Checks	2014/1/9	2021/1/4	low
71554	Mandriva Linux セキュリティアドバイザリ：gnupg（MDVSA-2013:295）	Nessus	Mandriva Local Security Checks	2013/12/20	2021/1/6	low
71766	Fedora 19：gnupg-1.4.16-2.fc19（2013-23615）	Nessus	Fedora Local Security Checks	2013/12/30	2021/1/11	low
71893	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の gnupg	Nessus	Scientific Linux Local Security Checks	2014/1/10	2021/1/14	low

検出

プラグインの検索

low

low

low

low

low

low

low

low

low

low

low