🇰🇷 한글 설명
Ed25519 키 쌍을 생성할 때 보안성이 보장된 난수를 사용해야 하나, 최근 변경 사항으로 인해 취약한 시드가 사용되는 결함이 발견되었습니다. 이로 인해 생성된 개인키가 노출될 수 있으며, 해당 키를 사용하는 원장 내 자산 손실이나 컨트롤러 권한 상실로 이어질 수 있습니다.
💡 쉬운 설명
암호화 키를 만들 때 무작위 숫자를 써야 하는데, 예측 가능한 숫자를 사용하게 되어 키가 털릴 위험이 생겼습니다. 이 키를 사용하던 디지털 자산이나 관리 권한을 해커가 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Impact: The library offers a function to generate an ed25519 key pair via Ed25519KeyIdentity.generate with an optional param to provide a 32 byte seed value, which will then be used as the secret key. When no seed value is provided, it is expected that the library generates the secret key using secure randomness. However, a recent change broke this guarantee and uses an insecure seed for key pair generation. Since the private key of this identity (535yc-uxytb-gfk7h-tny7p-vjkoe-i4krp-3qmcl-uqfgr-cpgej-yqtjq-rqe) is compromised, one could lose funds associated with the principal on ledgers or lose access to a canister where this principal is the controller.
📍 영향받는 시스템
Ed25519KeyIdentity.generate 함수를 사용하는 라이브러리 및 해당 취약점이 포함된 최신 업데이트 버전
⚔️ 공격 벡터
취약한 시드 생성 알고리즘을 이용해 예측 가능한 개인키를 생성하여 권한 탈취 및 자산 탈취
🛡️ 대응 방법
보안 난수 생성이 복구된 최신 버전의 라이브러리로 업데이트하고, 노출 위험이 있는 키 쌍을 즉시 교체하십시오.
🔧 검증 코드
프로젝트 코드 내에서 해당 함수를 사용하는 위치를 확인하고, 사용 중인 라이브러리의 버전을 체크하여 취약 버전 여부를 판단합니다.
grep -r "Ed25519KeyIdentity.generate" .
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access