Cloudflare CIRCL 库加密实现存在缺陷 (CVE-2025-8556)-字节棱镜 (Byte Prism)

近日，安全研究机构 Botanica 在一次针对开源加密库实现的安全审计中，披露了 Cloudflare 旗下 CIRCL 密码学库中的一个高危漏洞 (CVE-2025-8556)。该漏洞存在于 FourQ 椭圆曲线的具体实现中，在特定条件下，可能允许攻击者通过**无效点攻击（Invalid Point Attacks）**恢复服务器的秘密密钥。

据报告，该漏洞于 2025 年 3 月通过 HackerOne 平台提交至 Cloudflare。经 Cloudflare 团队确认与沟通后，该问题已得到修复。

漏洞原理：无效点攻击与私钥恢复

本漏洞的核心在于椭圆曲线密码学（ECC）的安全性前提。在椭圆曲线 Diffie-Hellman (ECDH) 密钥交换协议中，服务器使用其**私钥（一个秘密标量 $s$ ）与客户端提供的公钥（一个曲线点 $P$ ）**进行标量乘法运算（ $s \times P$ ），以生成共享秘密。

此过程的安全性，严格依赖于客户端公钥点 $P$ 必须位于指定的高安全性椭圆曲线上。

“无效点攻击”是一种边信道攻击。攻击者有意提交一个不在预期安全曲线上的恶意构造点 $P'$ 。 $P'$ 通常被设计为属于另一个阶数极小（例如， $n=400$ ）的“弱”子群。

如果服务器在执行 $s \times P'$ 运算前，未能严格校验 $P'$ 的有效性，就会触发漏洞。由于 $P'$ 所在的子群阶数 $n$ 很小，运算结果 $s \times P'$ 也会落在该子群内。攻击者可通过本地计算（例如，暴力破解 $n$ 次）反推出 $s \pmod n$ 的值，即获得了服务器私钥 $s$ 关于模 $n$ 的部分信息。

攻击者可通过提交多个具有不同小子群阶数的无效点，重复此过程。最终，利用中国剩余定理 (Chinese Remainder Theorem)，攻击者可以将收集到的所有私钥模数信息组合起来，完整地重构出服务器的私钥 $s$ 。

针对 FourQ 曲线的“退化曲线攻击”

FourQ 是一种 Edwards 曲线。其曲线公式的特定设计使其对上述“标准”的无效点攻击具有天然的免疫力。

然而，研究人员发现了一种适用于 Edwards 曲线的攻击变体——“退化曲线攻击” (Degenerate curve attacks)。

此攻击的关键在于发送一个 $x$ 坐标为 0 的特定形式点（即 $(0, y)$ ）。当 $x=0$ 时，Edwards 曲线加法公式中依赖于曲线参数的关键项被“零化”并消除。这导致了曲线的安全特性被“退化”，使得攻击者能够绕过其固有保护，重新启用基于小子群的私钥恢复攻击。

CIRCL 实现中的具体缺陷

理论攻击的成功依赖于代码实现层面的缺陷。研究人员在 CIRCL 的 FourQ 实现中定位了四个主要问题，这些问题共同导致了漏洞的产生：

Point.Unmarshal 点反序列化验证不充分：

此函数负责将字节流转换为曲线点。其实现未严格遵循 IETF 相关规范。规范要求在检查一个点及其共轭点后，必须进行最终的曲线有效性验证。CIRCL 的实现省略了这一关键的最终检查步骤，导致无效点得以通过验证。
pointR1.isEqual 比较逻辑缺陷：

一个用于内部点比较的函数存在逻辑错误。在特定的无效投影坐标状态下（$T$ 值为 0），该函数会错误地恒定返回 true，导致后续的安全检查失效。
pointR1.ClearCofactor 协因子清除后未验证：

为确保点位于主阶子群，规范要求对点进行协因子清除（乘以协因子 392）。如果操作结果为中性点（Identity Element），则表明输入点无效。CIRCL 的实现执行了乘法操作，但缺失了对结果是否为中性点的必要检查。
pointR1.ScalarMult 核心运算缺少输入验证：

此函数是执行 $s \times P$ 标量乘法的核心。该函数完全假设输入点 $P$ 是有效的，未设置任何前提验证。由于缺陷 #1 的存在，一个恶意的“退化点”得以被传入此函数，直接触发了上述的私钥泄露攻击。