DKG 协议的门限提升漏洞分析

2024-02-21 10:48:43生态安全

对安全保持敬畏之心，开放与协作推进行业安全

封面：Photo by Markus Spiske on Unsplash

背景

Trail of Bits 近期披露了 MPC 门限签名协议的一个漏洞，可用于攻击 MPC 门限签名方案中的 DKG（Distributed Key Generation）协议。利用该漏洞可恶意提升私钥分片的门限，导致意料之外的分片结果；在极端情况下，甚至可能导致私钥无法重建。

Trail of Bits 在 2024 年 1 月 3 日通过电子邮件向 Safeheron 披露了一个安全漏洞。Safeheron 经过分析研究，于 2024 年 1 月 4 日修补了该漏洞，同时公开了修复补丁（详见本文的「漏洞修复」部分）。在获得 Trail of Bits 的许可后，Safeheron 也立即通知了安全合作伙伴和业内其他厂商关于此漏洞的信息。

Safeheron 的 SaaS 产品已确认不受此漏洞的影响。

DKG（Distributed Key Generation）协议

在安全多方计算的场景中，不存在可信的第三方 Dealer，秘密是由多方共同生成的。任何时候，任何地点，都不曾有完整的秘密出现。为了实现这个目标，1991 年提出了 [5] 一种分布式的私钥生成协议（DKG，Distributed Key Generation），该协议基于 Shamir 的门限分享方案 [1] [2] [3] [4] 进行了扩展。协议实现了如下目的：

典型的 MPC 多签协议，如 GG18[6]、GG20[7]、基于门限方案的 CMP[8]、Frost[10]、DMZ21[9] 等，都定义了分布式的私钥生成子协议，即 DKG（Distributed Key Generation）协议，其分片生成的原理都类似，我们介绍一下核心思想。

注意：对于典型的 MPC 多签协议，MPC 多签门限和私钥重建的门限是一样的，这里为了叙述简便，仅提到了私钥重建。一般来说，只要能重建私钥，就可以完成 MPC 多签；如果不能重建私钥，就不能完成 MPC 多签。最后再强调一下，MPC 多签时并不会重建私钥，也不会泄漏彼此私钥分片的任何信息。

漏洞攻击原理

在 DKG 协议的具体实现中，如果在验证 VSSS（Verifiable Secret Sharing Scheme）的 Commitment 时，只验证了分片的正确性，但是没有验证随机多项式的度数，那么就可以采用如下方式攻击：

漏洞攻击影响

具体影响分析如下

如果 DKG 协议中没有额外验证，那么 DKG 协议会正常结束，但是最终生成的分片将永远无法重建私钥，或者签名，这种情况会直接造成资损。补充一下，我们注意到有些开源算法库缺乏验证，会导致这种严重的后果。

漏洞修复

为了修复漏洞，需要检查 Feldman VSSS 算法中的 Commitment 的长度，确保其和门限保持一致。具体的：

本质上是通过约束随机多项式的度数来锁定分片的门限。

具体修复参考

https://github.com/Safeheron/safeheron-crypto-suites-cpp/commit/5531ce457a6de958cd0a5281d0db233188feb6d6
https://github.com/Safeheron/multi-party-sig-cpp/commit/71da5cd3b7bb91f1abcfe5dc251d788bdacdef89