🇰🇷 한글 설명
phpecc 라이브러리의 타원곡선 암호화 Point addition 연산에서 branch-based timing leak이 존재하여 실행 시간 분석을 통해 암호화 키 정보가 유출될 수 있습니다. 2.0.1 이전 버전 사용자가 영향을 받으며, 정상적인 암호 연산과 예외 경로의 실행 시간 차이를 이용한 사이드채널 공격이 가능합니다.
💡 쉬운 설명
암호화 계산이 입력값에 따라 다른 시간이 걸리면서 비밀키 정보가 유출될 수 있는 문제입니다. 이를 통해 공격자가 시간 측정만으로 암호를 깨뜨릴 수 있습니다.
🇺🇸 원문 (English)
phpecc, as used in paragonie/phpecc before 2.0.1, has a branch-based timing leak in Point addition. (This is related to phpecc/phpecc on GitHub, and the Matyas Danter ECC library.)
📍 영향받는 시스템
paragonie/phpecc < 2.0.1 (Matyas Danter ECC 라이브러리 포함)
⚔️ 공격 벡터
Timing side-channel 공격으로 Point addition 연산 시간 차이 분석하여 ECC 개인키 추론
🛡️ 대응 방법
phpecc를 버전 2.0.1 이상으로 업데이트 (composer update paragonie/phpecc)
🔧 검증 코드
버전이 2.0.1 이상으로 표시되면 패치됨, 2.0.1 미만이면 즉시 업데이트 필요
composer show paragonie/phpecc 2>/dev/null | grep -i 'version' || grep -A1 '"paragonie/phpecc"' composer.lock | head -2