Как была закейгенена Armadillo, взломана PSP и скомпрометированы все DSA ключи в Debian. Или еще раз о слабых ГПСЧ и (EC)DSA

[questor]

Элегантно и… очень поучительно!

[DiveSlip]

То OllyDbg, то Armadillo… никогда бы не подумал, что Хабр станет для меня источником ностальгии :).

Спасибо!

[Scratch]

я еще как нить про пинч расскажу… )

[sanchower]

А что про него можно рассказать? coban2k уже вроде рассказал :)
www.xakep.ru/post/32451/

[Scratch]

Пинч после Кобана пережил второе дыхание с другими разработчиками, это длинная и местами интересная история

[sanchower]

Тогда интересно, ибо уже давным-давно не слежу за сценой :)

[sanchower]

Если не изменяет память, то Armadillo ломанула группа dREAM TEAM. Много шума тогда было :)
Armadillo.Professional.v3.01.3325.Public.RTFN-dT
дветыщи третий год!

Armadillo.Professional.v3.01.3325.Public.RTFN-dT 2003-05-05

Armadillo Professional v3.01.3325 Public
cracker....: dREAM TEAM date.........: 05/05/2003
supplier...: dREAM TEAM type.........: Uncrackable Stuff
tester.....: dREAM TEAM developer....: Silicon Realms
packager...: dREAM TEAM protection...: Armadillo v3
system.....: WinAll size.........: 01 x 2.88 mb

name: Unbreakable Armadillo
code: 4961-0874-1562-0FE8-9ADA-F427-A685-5BE9-B6E9-EC23-3864-F3A5-07C4-DA0E-4EDE

there are two versions of this product, public and customer ones.
there's no support of nanomites and other stuff in public version
available free from author's www. buy customers version if u want
use it with all *stupid* features and stay tuned for keygen on ur
armadillo protected program from us )

and about protection?

a level-9 signed key is at least 60 digits long. using the most
efficient algorithms available, it would require between fifteen
thousand and thirty thousand 1.2ghz pentium-III class computers,
working non-stop for a full year, to learn to forge it.

source: armadillo v3 help

..ha ha ha — fuck you chadiie, my stupid friend — u loose, again!

-sKAMER DeLEBRE / dREAM TEAM

[Scratch]

Этот ключ не ECC и версия 3, а не 3.7. Для 3.7 делали красивый кейген чуваки из TMG, но уже после того как наши расковыряли дыру в сорцах и с помощью тех данных, что были в этих сорцах. Так что, мы впереди планеты всей ) А, и кейген TMG не учитывал все нюансы и поэтому перестал работать сразу же после первого обновления. А наш работал )

[hellman]

А при переборе k не нужно ли проверять что r = g^k (mod p) (mod q)? А то получается, из первой пары нашли x, k для второй пары вычисляется через x. Получается для каждого x есть пара.

А если так, тогда достаточно для одного ключа найти такое k, чтобы r = g^k (mod p) (mod q) (и если таких будет несколько, можно проверить уже на второй паре).

[Scratch]

Вот часть кода утилиты, которая генерит всевозможные значения.
mad, xgcd функции из либы miracl

 	bytes_to_big(14,d,D);
	bytes_to_big(14,c,C);
	bytes_to_big(16,(char*)hash,H);

	subtract(O,H,H);    // H = -H mod O
    
	xgcd(C,O,Ci,Ci,Ci); // Ci = C^(-1) mod O
    
	mad(D,Ci,Z,O,T,D);  // D = D*C^(-1) mod O
	mad(H,Ci,Z,O,T,H);  // H = H*C^(-1) mod O
    
	for(seed=0;seed<100000000L;++seed) {
	    int i;
	    unsigned int sk[4];
	    unsigned char r[16];
    
	    if(0==(seed%10000)) {
		printf("%1.2f%% ...   \r",(double)seed/1000000.);
	    }
    
	    InitRandomGenerator(seed);
	    for(i=ECC_MAXLONG-1;i>=0;--i) sk[i] = NextRandomNumber();
	    sk[3] &= ECC_UPRMASK;
    
	    inverse((char*)sk,16);
	    bytes_to_big(16,(char*)sk,S);
    
	    mad(D,S,H,O,T,R);
	    big_to_bytes(14,R,r,1);
	    inverse(r,14);
    
	    // write to the basket # r[0]
	    fwrite(r,14,1,f[r[0]]);
	}

Мож я немного напортачил конечно с объяснением, давно дело было

[MatrixFailure]

Меня всегда поражали люди, которые так хорошо умеют разбираться в подобных прикладных областях математики.

Кстати, уже несколько месяцев Армадилла не продается, проект приостановлен, ссылки на покупку Armadillo на сайте Silicon Realms теперь не активны — наверно не всем дано на таком уровне понимать криптографию.

[Scratch]

переходите на VMProtect, там у чувака все нормально с образованием )

[MatrixFailure]

Да пожалуй, что так и сделаем.
Поддержим отечественного производителя.

[MARDEN]

Кейген это высший пилотаж, конечно. Но арма довольно просто снималась руками, и было немало инструментов для автоматической распаковки при условии, что защита была немаксимальной. В таком случае спасала только ручная распаковка. Кстати, фичи были интересные — и дочерние процессы, и наномиты.

[Scratch]

да, у меня до сих пор валяются кучки всяких версий armstripper, включая приватные… Тут цимус в математике, спасибо им, что оставили дыру.

[kab]

причем большую часть работы, насколько я помню, сделал один человек.
жаль, что reng уже не тот…

[Scratch]

Да, к сожалению этот человек не захотел чтобы я его упоминал в статье(спрашивал когда искал сорцы второй версии брутфорсилки), так что просто будем называть его «Хороший человек».