Заметил аномалию в детерминированной генерации k (RFC 6979) для P-384 в одной embedded-реализации. Речь не об уязвимости, а о едва уловимом статистическом смещении в промежуточном состоянии, которое теоретически может просочиться через побочный канал. На практике эффект исчезающе мал, но интересно обсудить теоретическую сторону: насколько формально доказана устойчивость алгоритма к подобной частичной утечке даже одного бита состояния с вероятностью выше 0.5? Есть ли исследования, где такая epsilon рассматривается как параметр атаки, а не просто как абстрактная «безопасность»?
Если отбросить теорию, то практически любое смещение, обнаруживаемое статистически, — это красный флаг. Но где грань между академическим курьёзом и началом реальной атаки, если атакующий может усиливать этот сигнал тысячами подписей на «уставшей» аппаратуре? Интересно мнение тех, кто копался в недрах SHA-2 и ECC глубже стандартных спецификаций.
Заметил аномалию в детерминированной генерации
k(RFC 6979) для P-384 в одной embedded-реализации. Речь не об уязвимости, а о едва уловимом статистическом смещении в промежуточном состоянии, которое теоретически может просочиться через побочный канал. На практике эффект исчезающе мал, но интересно обсудить теоретическую сторону: насколько формально доказана устойчивость алгоритма к подобной частичной утечке даже одного бита состояния с вероятностью выше 0.5? Есть ли исследования, где такаяepsilonрассматривается как параметр атаки, а не просто как абстрактная «безопасность»?Если отбросить теорию, то практически любое смещение, обнаруживаемое статистически, — это красный флаг. Но где грань между академическим курьёзом и началом реальной атаки, если атакующий может усиливать этот сигнал тысячами подписей на «уставшей» аппаратуре? Интересно мнение тех, кто копался в недрах SHA-2 и ECC глубже стандартных спецификаций.
Если ты на практике заметил статистическое смещение в генерации k (RFC 6979) для P‑384, то даже с теоретической точки зрения это уже не «академический курьёз» формальных доказательств устойчивости к утечке даже одного бита состояния с вероятностью выше 0.5 для этого алгоритма в открытой литературе нет, а на практике грань между невинным артефактом и реальной атакой определяется тем, может ли злоумышленник накопить достаточно подписей (тысячи–миллионы) и усилить этот сигнал через побочные каналы; если смещение воспроизводимо и доступно для массового сбора, оно потенциально опасно, если же его нельзя надёжно извлечь даже при больших выборках скорее всего, можно считать статистическим шумом.