Une faille dans l’implémentation RSA de OpenSSL

Par Ludovic Blin, secuobs.com
Le 05/03/2010

---

Résumé : En manipulant finement l’alimentation d’un système utilisant OpenSSL, il est possible de récupérer la clé privée, selon un article publié par trois chercheurs de l’université du Michigan. - Lire l'article



L’algorithme RSA est l’une des méthodes d’authentification asymétrique les plus utilisées. On retrouve ces techniques dans de nombreuses applications comme par exemple les cartes bancaires, les dispositifs d’authentification par cartes à puces ou token usb, mais aussi des produits d’électronique grand public (lecteurs Blu-Ray, smartphones …).

Dans certains cas il peut être utile de récupérer une clé privée RSA contenue dans l’un de ces systèmes, sans avoir à s’introduire dedans de manière logicielle ou à démonter de manière physique ses composants.

Trois chercheurs de l’université du Michigan, Andrea Pellegrini, Valeria Bertacco et Todd Austin, ont mis au point une méthode permettant de retrouver cette clé en injectant des fautes dans le système en question grâce à une légère modulation de l’alimentation. Ils ont ainsi pu récupérer une clé privée RSA de 1024 bits sur un système Linux (sur plate-forme SPARC), doté de OpenSSL 0.9.8i.

La technique consiste tout d’abord à trouver le bon voltage, qui se situe juste en dessous du voltage minimum pour que le système fonctionne correctement. En effet, il est nécessaire que les erreurs du système ne portent que sur un bit. Les chercheurs récupèrent ensuite les signatures erronées produites, ce qui va leur permettre finalement de dévoiler la clé privée utilisée lors de ces signatures. En utilisant cette méthode, il a été possible d’obtenir une clé privée RSA de 1024 bits en 104 heures, avec un cluster de 81 Pentium4 a 2.4 Ghz sous Linux.

En ce qui concerne OpenSSL, le problème se situe au niveau de la fonction d’exponentiation modulaire utilisée (Fixed Window Exponentiation). Notons que d’autres algorithmes existent pour cette tache, celui utilisé actuellement ayant l’avantage d’entraîner un délai de calcul constant (ce qui permet de lutter contre les timing-attacks). Les chercheurs indiquent aussi tirer partie d’une faille matérielle fréquente sur tous les microprocesseurs : l’unité de calcul des multiplications est en général la première à faillir en cas de conditions dégradées. Or l’algorithme FWE effectue plus de 1000 multiplications pour réaliser l’exponentiation modulaire d’une clé.

Cette attaque n’est bien entendu pas réalisable à distance, puisqu’il faut pouvoir contrôler l’alimentation de la cible (en accédant au BIOS par exemple).

L'article: lien