Kekurangan Entropi & Pepijat Kunci Lemah

Kekurangan entropi berlaku apabila sistem tidak mempunyai masukan tidak boleh diramalkan yang mencukupi untuk mengisi benih CSPRNGnya. Keadaan ini berlaku pada peranti terbenam yang baru dimulakan, pelayan tervirtualisasi atau sistem tanpa masukan pengguna. Keluaran RNG menjadi boleh diramalkan.

Pada tahun 2006, pembangun Debian membuang satu baris yang ditandai oleh Valgrind: MD_Update(&m, buf, j). Baris ini ialah sumber entropi. Akibatnya: OpenSSL pada Debian hanya diisi benih dengan PID (maksimum 32,768 nilai). Semua kunci yang dijana pada 2006–2008 berada dalam set yang mengandungi 32,768 kemungkinan.

Kunci RSA, DSA dan ECDSA, kunci hos SSH, sijil TLS serta kunci VPN SSL yang dijana pada sistem Debian/Ubuntu pada 2006–2008 telah terjejas. Sistem yang terjejas: Debian Etch, Debian Lenny dan Ubuntu 7.04–8.04. Senarai penolakan diterbitkan; sijil dibatalkan.

Mesin maya boleh diklon dengan keadaan cakera yang sama. Jika kedua-dua mesin maya menjana kunci daripada keadaan CSPRNG yang sama, kedua-duanya menghasilkan kunci yang sama. Penyelia mesin maya kini menyuntik entropi melalui RNG VirtIO atau jadual ACPI, tetapi mesin maya yang tidak dikonfigurasikan dengan baik masih menghadapi risiko ini semasa dimulakan.

Peranti IoT (penghala, kamera) sering menjana kunci SSH/TLS pada permulaan pertama sebelum mengumpulkan entropi. Kajian mendapati berjuta-juta peranti berkongsi beberapa ribu pasangan kunci RSA kerana semuanya diisi benih daripada keadaan permulaan yang mempunyai entropi rendah.

Lenstra et al. (2012) mengumpulkan 11.7 juta sijil TLS dan mengira GCD secara berpasangan. Mereka menemui 12,720 kunci RSA yang berkongsi faktor perdana — bermakna kedua-dua kunci boleh difaktorkan sepenuhnya. Sebanyak 0.2% daripada semua kunci awam telah dipecahkan. Puncanya: entropi permulaan yang tidak mencukupi.

ECDSA memerlukan nombor sekali guna rawak yang unik, k, bagi setiap tandatangan. Jika k digunakan semula (atau lemah), kunci peribadi boleh dipulihkan serta-merta: d = (s1-s2)^{-1} * (z1-z2) * k / (r1-r2) mod n. PS3 Sony menggunakan k=constant — semua permainan boleh ditandatangani dengan kunci yang dipulihkan.

Java SecureRandom pada Android 4.x diisi benih dengan masa sistem dalam keadaan tertentu. Berbilang aplikasi dompet Bitcoin menjana tandatangan dengan nombor sekali guna k yang sama, lalu membocorkan kunci peribadi. Jutaan dolar telah dicuri. Google menampal pelaksanaan SecureRandom.

Alat: ssh-vulnkey (menyemak berdasarkan senarai penolakan kunci lemah Debian), badkeys (menyemak sijil TLS untuk faktor perdana yang diketahui lemah) dan algoritma kelompok GCD untuk pengauditan kunci RSA secara pukal. Log Ketelusan Sijil membolehkan analisis pada skala keseluruhan populasi.

Gunakan getrandom(GRND_RANDOM) semasa penjanaan kunci pertama. Baca daripada /dev/urandom selepas menunggu pengisian benih awal (semak /proc/sys/kernel/random/entropy_avail > 128). Gunakan RNG perkakasan (RDRAND) sebagai entropi tambahan. Jangan sekali-kali menjana kunci semasa permulaan pertama tanpa kelewatan.

Kekalkan keadaan CSPRNG merentas but semula: simpan 32 bait daripada /dev/urandom ke dalam fail benih semasa penutupan; baca dan masukkan semula nilai itu semasa but. Ini menyediakan kesinambungan entropi merentas but sejuk. Linux melakukan perkara ini secara automatik; sistem terbenam sering tidak melakukannya.

Kekurangan entropi menyebabkan kunci boleh diramalkan. Pemecahan sebenar: OpenSSL Debian (benih PID sahaja), serangan GCD IoT, penggunaan semula nombor sekali guna ECDSA PS3 dan dompet Bitcoin Android. Sentiasa isi benih daripada entropi OS; audit penjanaan kunci sistem terbenam dengan teliti. Seterusnya: menjana kunci, nombor sekali guna dan IV dengan selamat.