Im Jahr 2016 extrahierten Forschende private Schlüssel von einem Cloud-Server, nicht indem sie die Mathematik knackten, sondern indem sie gemessen haben, wie lange kryptografische Operationen dauerten. Der Algorithmus war perfekt. Die Zeitmessung verriet ihn.
Da wurde mir klar, dass die Antwortzeit mehr verraten kann, als wir denken.
Ich habe etwas Zeit damit verbracht, darüber nachzudenken, was die Antwortzeit preisgeben kann.
Die meisten Protokoll-Diskussionen behandeln Latenz als ein Performance-Problem. Newtons Sicherheitsdokumentation behandelt einen Teil davon als ein kryptografisches Sicherheitsproblem.
Newton schützt seine kryptografischen Operationen mit geprüften Bibliotheken, die Zeitunterschiede reduzieren, die mit geheimen Schlüsseln zusammenhängen.
Diese Sicherheitstools sind so gebaut, dass Hacker keine Informationen über geheime Schlüssel lernen können, indem sie prüfen, wie lange sie zum Arbeiten brauchen. Newton nutzt diesen Schutz mit secp256k1, Ed25519, X25519 und HPKE.
Zuerst sah es nach etwas Kleinem aus.
Aber es war viel mehr entscheidend, als ich erwartet hatte.
Wenn sich das Ausführungsverhalten einer sensiblen kryptografischen Operation in Abhängigkeit von geheimer Information ändert, können wiederholte Timing-Messungen einem Angreifer Erkenntnisse liefern, die die Operation niemals hätte offenlegen sollen. Implementierungen mit konstanter Laufzeit sind darauf ausgelegt, diese Beziehung zu entfernen oder zu verringern.
Das ist eine echte Stärke.
Newton verwendet mehrere kryptografische Systeme für Signaturen, Autorisierung und die Verarbeitung von verschlüsselten Daten. Durch die Nutzung geprüfter Implementierungen mit konstanter Laufzeit wird eine stärkere Grenze um sensible kryptografische Operationen gezogen, ohne dass sich die Policy-Logik darum herum ändern muss.
Aber irgendetwas ließ mich nicht los.
Kryptografie mit konstanter Laufzeit macht Newton nicht selbst zu einer vollständig konstant laufenden Netzwerklösung.
In der Dokumentation von Newton heißt es, dass das Latenzbudget des Protokolls vor allem von Netzwerk-Round-Trips und der Policy-Auswertung dominiert wird. Die zugrunde liegenden kryptografischen Operationen dauern in der Praxis auf Standardhardware im Bereich von Mikrosekunden bis zu niedrigen Millisekunden. Eine Aufgabe kann daher länger dauern als eine andere, selbst wenn die kryptografischen Operationen in konstanter Zeit implementiert sind.
Dieser Unterschied deutet nicht automatisch auf das Lecken von privatem Schlüsselmateral hin.
Aber der gesamte Anwendungslebenszyklus kann weiterhin beobachtbare Timing-Unterschiede erzeugen. Anfragen können unterschiedliche Mengen an Policy-Auswertung, Datenabruf oder Netzwerkkoordination erfordern. Theoretisch könnten wiederholte Latenzmuster etwas darüber verraten, welche Workflows teurer sind oder welche Teile einer Anwendung langsamer reagieren.
Das ist eine allgemeinere Betrachtung auf Anwendungsebene und keine Verwundbarkeit, die in Newtons Dokumentation als entdeckt behauptet wird.
Das ist die Unterscheidung, zu der ich immer wieder zurückkehre.
Implementierungen mit konstanter Laufzeit schützen vor Timing-Unterschieden, die mit sensibler kryptografischer Information zusammenhängen. Sie versprechen jedoch nicht, dass jede Policy-Anfrage, jeder Netzwerkpfad oder der komplette Autorisierungsprozess allein anhand der Antwortzeit nicht unterscheidbar ist.
Das sind unterschiedliche Sicherheitsfragen.
Man fragt, ob sensible kryptografische Operationen Schlüsselmaterial durch Timing offenlegen. Die andere Frage lautet, was ein Beobachter aus dem vollständigen Task-Lifecycle ableiten könnte.
Newton adressiert offiziell das Erste über kryptografische Implementierungen mit konstanter Laufzeit. Es wird nicht behauptet, dass jede Ende-zu-Ende-Policy-Aufgabe die gleiche Zeit benötigt.
Bietet die Kryptografie mit konstanter Laufzeit in Newton eine stark genuges Schutzgrenze um sensible Schlüsseloperationen, oder sollten Anwendungen auch berücksichtigen, was ihre breiteren Task-Latenzmuster möglicherweise offenbaren?
Berühmtes Sprichwort. Eine Kette ist nur so stark wie ihr schwächstes Glied. Wir können die Krypto absichern, aber wenn das gesamte System-Timing noch nach außen spricht, werden Angreifer zuhören.
@NewtonProtocol #NewsAboutCrypto $NEWT
