엔트로피 고갈과 취약한 키 버그

엔트로피 고갈은 시스템에 CSPRNG의 시드로 사용할 수 있는 충분한 예측 불가능한 입력이 없을 때 발생합니다. 새로 부팅된 임베디드 장치, 가상화된 서버 또는 사용자 입력이 없는 시스템에서 발생할 수 있습니다. RNG 출력이 예측 가능해집니다.

2006년에 Debian 개발자가 Valgrind에서 표시한 줄인 MD_Update(&m, buf, j)를 제거했습니다. 이 줄이 엔트로피 소스였습니다. 그 결과 Debian의 OpenSSL은 PID만으로 시드를 설정했으며(최대 32,768개 값), 2006년부터 2008년까지 생성된 모든 키가 32,768개의 가능성으로 이루어진 집합에 포함되었습니다.

2006년부터 2008년까지 Debian/Ubuntu 시스템에서 생성된 RSA, DSA, ECDSA 키, SSH 호스트 키, TLS 인증서, SSL VPN 키가 침해되었습니다. 영향을 받은 시스템은 Debian Etch, Debian Lenny, Ubuntu 7.04~8.04입니다. 차단 목록이 공개되었고 인증서는 폐기되었습니다.

가상 머신은 동일한 디스크 상태로 복제될 수 있습니다. 두 가상 머신이 동일한 CSPRNG 상태에서 키를 생성하면 같은 키를 생성합니다. 현재 하이퍼바이저는 VirtIO RNG 또는 ACPI 테이블을 통해 엔트로피를 주입하지만, 잘못 구성된 가상 머신은 부팅 시에도 여전히 이 위험에 노출됩니다.

IoT 장치(라우터, 카메라)는 엔트로피를 축적하기 전에 최초 부팅 시 SSH/TLS 키를 생성하는 경우가 많습니다. 연구 결과, 수백만 대의 장치가 동일한 낮은 엔트로피의 부팅 상태에서 시드를 받았기 때문에 수천 개의 RSA 키 쌍을 공유하는 것으로 나타났습니다.

Lenstra 등(2012)은 1,170만 개의 TLS 인증서를 수집하고 쌍별 GCD를 계산했습니다. 그 결과 12,720개의 RSA 키가 소인수를 공유하는 것으로 밝혀졌으며, 이는 두 키를 모두 완전히 소인수분해할 수 있다는 의미입니다. 전체 공개 키의 0.2%가 깨졌습니다. 원인은 부팅 시 엔트로피 부족이었습니다.

ECDSA는 서명마다 고유한 무작위 논스 k를 요구합니다. k가 재사용되거나 취약하면 개인 키를 즉시 복구할 수 있습니다. d = (s1-s2)^{-1} * (z1-z2) * k / (r1-r2) mod n입니다. Sony의 PS3는 k=constant를 사용했기 때문에 복구된 키로 모든 게임에 서명할 수 있었습니다.

특정 조건에서 Android 4.x의 Java SecureRandom이 시스템 시간으로 시드되었습니다. 여러 비트코인 지갑 앱이 동일한 k 논스로 서명을 생성하여 개인 키가 유출되었습니다. 수백만 달러가 도난당했습니다. Google은 SecureRandom 구현을 패치했습니다.

도구: ssh-vulnkey(Debian 취약 키 차단 목록과 대조), badkeys(TLS 인증서에서 알려진 취약 소인수 검사), 대량 RSA 키 감사를 위한 GCD 일괄 알고리즘이 있습니다. Certificate Transparency 로그를 사용하면 전체 집단 규모의 분석을 수행할 수 있습니다.

최초 키 생성 시 getrandom(GRND_RANDOM)을 사용하십시오. 초기 시드 설정이 완료될 때까지 기다린 후 /dev/urandom에서 읽으십시오(/proc/sys/kernel/random/entropy_avail > 128인지 확인). 하드웨어 RNG(RDRAND)는 추가 엔트로피로 사용하십시오. 지연 없이 최초 부팅 시 키를 생성하지 마십시오.

재부팅 후에도 CSPRNG 상태를 유지하십시오. 종료 시 /dev/urandom에서 32바이트를 저장하여 시드 파일을 만들고, 부팅 시 이를 읽어 다시 입력합니다. 이렇게 하면 콜드 부팅 사이에도 엔트로피의 연속성이 유지됩니다. 리눅스에서는 이 작업을 자동으로 수행하지만 임베디드 시스템에서는 수행하지 않는 경우가 많습니다.

Debian OpenSSL 엔트로피 버그의 근본 원인은 무엇이었습니까?

엔트로피 고갈은 예측 가능한 키를 생성하게 합니다. 실제로 키가 깨진 사례로는 Debian OpenSSL(PID만 사용한 시드), IoT GCD 공격, PS3의 ECDSA 논스 재사용, Android 비트코인 지갑이 있습니다. 항상 OS 엔트로피에서 시드를 받고 임베디드 환경의 키 생성을 주의 깊게 감사하십시오. 다음 주제: 키, 논스, IV를 안전하게 생성하는 방법입니다.