docs/cautions.rst

   1 Things To Be Careful About As We Venture Boldly Forth
   2 =====================================================
   3
   4 Timing Attacks
   5 --------------
   6
   7 Asymmetric-key cryptography operations are particularly sensitive to
   8 side-channel attacks. Unless the library is carefully hardened against timing
   9 attacks, it is dangerous to allow an attacker to measure how long signature
  10 and pubkey-derivation operations take. With enough samples, the attacker can
  11 deduce the private signing key from these measurements. (Note that
  12 verification operations are only sensitive if the verifying key is secret,
  13 which is not the case for anything in Tahoe).
  14
  15 We currently use private-key operations in mutable-file writes, and
  16 anticipate using them in signed-introducer announcements and accounting
  17 setup.
  18
  19 Mutable-file writes can reveal timing information to the attacker because the
  20 signature operation takes place in the middle of a read-modify-write cycle.
  21 Modifying a directory requires downloading the old contents of the mutable
  22 file, modifying the contents, signing the new contents, then uploading the
  23 new contents. By observing the elapsed time between the receipt of the last
  24 packet for the download, and the emission of the first packet of the upload,
  25 the attacker will learn information about how long the signature took. The
  26 attacker might ensure that they run one of the servers, and delay responding
  27 to the download request so that their packet is the last one needed by the
  28 client. They might also manage to be the first server to which a new upload
  29 packet is sent. This attack gives the adversary timing information about one
  30 signature operation per mutable-file write. Note that the UCWE
  31 automatic-retry response (used by default in directory modification code) can
  32 cause multiple mutable-file read-modify-write cycles per user-triggered
  33 operation, giving the adversary a slightly higher multiplier.
  34
  35 The signed-introducer announcement involves a signature made as the client
  36 node is booting, before the first connection is established to the
  37 Introducer. This might reveal timing information if any information is
  38 revealed about the client's exact boot time: the signature operation starts a
  39 fixed number of cycles after node startup, and the first packet to the
  40 Introducer is sent a fixed number of cycles after the signature is made. An
  41 adversary who can compare the node boot time against the transmission time of
  42 the first packet will learn information about the signature operation, one
  43 measurement per reboot. We currently do not provide boot-time information in
  44 Introducer messages or other client-to-server data.
  45
  46 In general, we are not worried about these leakages, because timing-channel
  47 attacks typically require thousands or millions of measurements to detect the
  48 (presumably) small timing variations exposed by our asymmetric crypto
  49 operations, which would require thousands of mutable-file writes or thousands
  50 of reboots to be of use to the adversary. However, future authors should take
  51 care to not make changes that could provide additional information to
  52 attackers.