2020第五空间智能安全大赛Crypto赛题解析：ROS-B加密算法逆向与漏洞利用实战

1次阅读

没有评论

共计 1693 个字符，预计需要花费 5 分钟才能阅读完成。

ROS- B 是 2020 年第五空间智能安全大赛中出现的一道非标准加密算法赛题。与常见的 RSA/ECC 等非对称加密算法不同，ROS- B 具有以下典型特征：

采用自定义的密钥生成流程，而非基于大数分解或椭圆曲线难题
伪随机数生成器 (PRNG) 部分使用了线性同余生成器(LCG)，而非密码学安全的 PRNG
加密过程中缺乏标准的填充方案，导致可能出现选择性明文攻击 (CPA) 漏洞

这些非标准设计使得 ROS- B 在实际安全性上存在缺陷，但也为 CTF 选手提供了逆向分析和漏洞利用的空间。

在分析 ROS- B 算法时，我们采用了静态分析和动态调试相结合的方法：

静态分析：通过反编译获取算法整体流程，但难以获取运行时数据
动态调试：可以获取具体执行时的内存状态，但效率较低

对于 ROS- B 这类非标准算法，建议先进行静态分析理清流程，再针对关键部分进行动态调试验证。

通过侧信道分析，我们发现 ROS- B 的 LCG 实现存在严重问题：

使用过小的模数(2^32)，导致随机数周期较短
初始种子可预测，且后续状态完全由前一个状态决定
生成的随机数序列在统计上不符合均匀分布

这些缺陷使得我们可以通过收集一定数量的输出，逆向推算出 LCG 的参数和内部状态。

# ROS- B 密钥生成流程还原
def rosb_keygen(seed):
    # 初始化 LCG 参数 - 这是漏洞的关键所在
    a = 1664525  # 乘数
    c = 1013904223  # 增量
    m = 2**32  # 模数 - 过小导致周期性明显

    # 生成伪随机序列
    state = seed
    rand_vals = []
    for _ in range(4):  # 生成 4 个 32 位数
        state = (a * state + c) % m
        rand_vals.append(state)

    # 组合成密钥 - 这里存在字节序问题
    key = b''.join([val.to_bytes(4,'little') for val in rand_vals])
    return key

利用 LCG 的数学性质，当我们获得连续两个输出值时，可以解方程组恢复参数：

收集算法输出的两个连续随机数 R1 和 R2
根据 LCG 公式：R2 ≡ (a*R1 + c) mod m
已知 m =2^32 时，可以求解 a 和 c

字节序问题：ROS- B 使用小端序存储密钥，而某些系统默认使用大端序
填充验证：加密前未进行标准填充，可能导致边界条件错误
时间差异：在远程攻击时，网络延迟会影响侧信道分析的准确性
状态重置：某些实现会在错误后重置 PRNG 状态，需重新收集数据
密钥派生：直接使用 PRNG 输出作为密钥，缺乏密钥派生步骤

使用经过验证的密码学原语，如 AES、SHA- 3 等
实现完整的密钥派生流程，建议使用 HKDF 而非直接 PRNG 输出
加入随机性测试，确保 PRNG 满足密码学安全要求

# ROS- B 测试向量验证
def test_rosb():
    # 已知种子和预期密钥
    test_seed = 0xdeadbeef
    expected_key = bytes.fromhex('efbeadde2307ac5b01000000d90a5e1b')

    # 运行密钥生成
    generated_key = rosb_keygen(test_seed)

    # 验证结果
    assert generated_key == expected_key, '密钥生成验证失败'
    print('测试向量验证通过')