Signature-Malleability: Manipulierbare ECDSA-Signaturen

Definition

Signature-Malleability, oder Signatur-Manipulierbarkeit, beschreibt eine Schwachstelle in bestimmten digitalen Signaturverfahren, insbesondere dem Elliptic Curve Digital Signature Algorithm (ECDSA). Sie ermöglicht es, eine gültige Signatur so zu verändern, dass eine andere, ebenfalls gültige Signatur für dieselbe Nachricht entsteht, ohne dass der Angreifer Zugriff auf den privaten Schlüssel des ursprünglichen Unterzeichners benötigt. Obwohl die zugrunde liegende Absicht der Signatur (z. B. die Autorisierung einer Transaktion) unverändert bleibt, kann ihre eindeutige kryptografische Darstellung modifiziert werden. Dieses Phänomen beeinflusst primär, wie Transaktionen innerhalb von Blockchain-Netzwerken identifiziert und verfolgt werden.

Signature-Malleability ist eine Eigenschaft eines digitalen Signaturverfahrens, die es erlaubt, mehrere unterschiedliche, aber gleichermaßen gültige Signaturen für dieselbe Nachricht zu erstellen, ohne Kenntnis des privaten Schlüssels, der zur Erzeugung der ursprünglichen Signatur verwendet wurde.

Kernaussage

Die grundlegende Implikation der Signature-Malleability ist, dass die eindeutige Kennung einer Transaktion, bekannt als Transaktions-ID (TXID), von einer dritten Partei geändert werden kann, selbst nachdem die Transaktion signiert und im Netzwerk verbreitet wurde. Diese Änderung macht die Transaktion selbst nicht ungültig und kompromittiert auch nicht den privaten Schlüssel. Sie kann jedoch zu erheblichen Problemen in Systemen führen, die sich auf die Unveränderlichkeit von TXIDs für die Verfolgung, Bestätigung oder Sicherheit verlassen. Dies kann Verwirrung stiften, zu fehlgeschlagenen Bestätigungen führen oder in bestimmten Kontexten sogar bestimmte Arten von Double-Spend-Versuchen ermöglichen.

Mechanik

Der Elliptic Curve Digital Signature Algorithm (ECDSA) wird in Kryptowährungen wie Bitcoin und Ethereum weit verbreitet eingesetzt, um Transaktionen zu sichern. Eine ECDSA-Signatur besteht aus zwei Hauptkomponenten: r und s. Diese Werte werden aus dem Hash der Nachricht, dem privaten Schlüssel des Unterzeichners und einer zufällig generierten Nonce abgeleitet. Die Manipulierbarkeit ergibt sich aus einer mathematischen Eigenschaft der in ECDSA verwendeten elliptischen Kurven. Genauer gesagt, wenn (r, s) eine gültige Signatur für eine gegebene Nachricht ist, dann ist (r, n - s) ebenfalls eine gültige Signatur für dieselbe Nachricht, wobei n die Ordnung des Basispunkts der elliptischen Kurve ist (für Bitcoins secp256k1-Kurve ist n eine sehr große Primzahl). Sowohl s als auch n - s verweisen bei der Überprüfung gegen den Nachrichten-Hash auf denselben öffentlichen Schlüssel.

Dies bedeutet, dass eine dritte Partei, ohne den privaten Schlüssel zu kennen, eine bestehende gültige Signatur (r, s) nehmen, s' = n - s berechnen und eine neue gültige Signatur (r, s') erstellen kann. Diese neue Signatur (r, s') ist kryptografisch von (r, s) verschieden, wird aber die Überprüfung für die ursprüngliche Nachricht weiterhin bestehen. Im Kontext von Bitcoin würde diese modifizierte Signatur in das Transaktionsskript eingebettet. Da die Signatur Teil der Transaktionsdaten ist, ändert eine Änderung der Signatur effektiv den gesamten Hash der Transaktion und somit ihre Transaktions-ID (TXID). Für Smart Contracts, insbesondere solche auf Ethereum, die die Funktion ecrecover zur Validierung von Signaturen verwenden, kann diese Manipulierbarkeit ausgenutzt werden. Wenn ein Vertrag ein bestimmtes Signaturformat erwartet oder sich auf die Einzigartigkeit einer Signatur verlässt, könnte ein Angreifer eine manipulierbare Version einreichen, was potenziell zu Replay-Angriffen oder unbeabsichtigten Ausführungsabläufen führen kann, wenn dies nicht sorgfältig berücksichtigt wird.

Trading-Relevanz

Signature-Malleability beeinflusst primär die Zuverlässigkeit der Transaktionsverfolgung und -bestätigung, was indirekt, aber signifikant für Handelsaktivitäten relevant ist. Wenn ein Trader eine Kryptowährungstransaktion initiiert, beispielsweise das Senden von Geldern an eine Börse oder eine andere Wallet, überwacht er deren Status typischerweise mithilfe der Transaktions-ID (TXID). Wenn diese TXID von einer dritten Partei geändert werden kann, bevor die Transaktion in der Blockchain bestätigt wird, kann dies zu erheblicher Verwirrung führen. Eine Wallet oder Börse könnte zunächst eine TXID sehen, dann aber feststellen, dass die Transaktion mit dieser ID im Netzwerk nicht mehr sichtbar ist, obwohl die zugrunde liegende Wertübertragung weiterhin gültig ist und möglicherweise unter einer anderen TXID bestätigt wird.

Diese Unsicherheit kann zu Verzögerungen bei der Gutschrift von Einzahlungen, fehlerhaften Meldungen über fehlgeschlagene Transaktionen oder sogar zu Versuchen des Senders führen, die „verlorene“ Transaktion erneut zu senden, was potenziell zu Double-Spending-Szenarien führen kann, falls die ursprüngliche Transaktion letztendlich doch bestätigt wird. Für Hochfrequenz-Trader oder solche, die auf schnelle Bestätigungen angewiesen sind, führt eine solche Manipulierbarkeit zu einem inakzeptablen Maß an Unvorhersehbarkeit. Obwohl moderne Blockchain-Implementierungen und Wallet-Software diese Risiken weitgehend gemindert haben, bleibt das Verständnis des historischen Kontexts und des Potenzials solcher Schwachstellen für jeden, der im Krypto-Handel tätig ist, wichtig, insbesondere beim Umgang mit älteren Protokollen oder benutzerdefinierten Implementierungen.

Risiken

Das Hauptrisiko, das mit Signature-Malleability verbunden ist, ist das Potenzial zur Änderung der Transaktions-ID (TXID), was eine Kaskade von Problemen auslösen kann. Obwohl es einem Angreifer nicht direkt ermöglicht, Gelder durch das Fälschen einer Signatur ohne den privaten Schlüssel zu stehlen, kann es den normalen Betriebsablauf stören und Möglichkeiten für andere Exploits schaffen. Ein erhebliches Risiko ist die Verwirrung, die es für Transaktionsverfolgungssysteme mit sich bringt. Börsen, Zahlungsabwickler und sogar individuelle Wallets verlassen sich oft auf die TXID, um den Status unbestätigter Transaktionen zu überwachen. Wenn sich die TXID einer Transaktion aufgrund von Manipulierbarkeit während des Übertragungsprozesses ändert, könnten diese Systeme die ursprüngliche Transaktion aus den Augen verlieren, was zu Verzögerungen bei der Gutschrift von Geldern oder sogar zu manuellen Eingriffen führen kann.

Darüber hinaus kann Signature-Malleability in bestimmten Szenarien ausgenutzt werden, um „gefälschte“ Double-Spending-Versuche zu erleichtern. Ein Angreifer könnte eine Transaktion senden und dann deren Signatur ändern, um die TXID zu modifizieren. Wenn die ursprüngliche Transaktion aufgrund der TXID-Änderung als „verloren“ oder unbestätigt erscheint, könnte der Sender versuchen, dieselben Gelder erneut zu senden. Sollten sowohl die ursprüngliche (manipulierte) als auch die erneut gesendete Transaktion letztendlich bestätigt werden, könnte dies aus Sicht des Senders dazu führen, dass er denselben Output effektiv zweimal ausgibt, obwohl die Blockchain nur eine gültige Ausgabe verarbeitet. Dies war ein erhebliches Problem für frühe Bitcoin-Börsen wie Mt. Gox. Im Kontext von Smart Contracts, insbesondere auf Plattformen wie Ethereum, kann Signature-Malleability Replay-Angriffe ermöglichen. Wenn ein Smart Contract ecrecover verwendet, um eine Signatur für eine bestimmte Aktion zu überprüfen, könnte ein Angreifer eine manipulierbare Version dieser Signatur einreichen, was potenziell dazu führen könnte, dass der Vertrag dieselbe Aktion mehrmals oder unter unbeabsichtigten Bedingungen ausführt, wenn die Vertragslogik diese Möglichkeit nicht berücksichtigt.

Geschichte und Beispiele

Signature-Malleability war in den frühen Tagen von Bitcoin ein erhebliches Problem. Das ursprüngliche Bitcoin-Protokoll war vor bestimmten Updates anfällig für diese Schwachstelle, da die eindeutige Kennung der Transaktion (TXID) durch Hashing der gesamten Transaktionsdaten, einschließlich des die Signatur enthaltenden scriptSig, berechnet wurde. Da die Signatur selbst manipuliert werden konnte, ohne die Transaktion ungültig zu machen, konnte die TXID von jedem Knoten, der die Transaktion weiterleitete, geändert werden. Dieses Problem erlangte insbesondere im Zusammenhang mit dem Zusammenbruch der Mt. Gox-Börse im Jahr 2014 Bekanntheit. Obwohl die genauen Ursachen des Mt. Gox-Versagens komplex sind, wurde Transaktions-Malleability als ein beitragender Faktor genannt, da sie es Angreifern ermöglichte, Transaktions-IDs zu ändern, was es der Börse erschwerte, Abhebungen zu verfolgen, und potenziell zu Double-Spending-Versuchen gegen ihre internen Systeme führte.

Um dies zu beheben, implementierte die Bitcoin-Community mehrere Bitcoin Improvement Proposals (BIPs). BIP 66 (Strict DER encoding for signatures) und BIP 146 (Dealing with signature encoding malleability) wurden eingeführt, um die Kodierung von ECDSA-Signaturen zu standardisieren und eine „Low S Value“-Regel durchzusetzen. Insbesondere schreibt BIP 146 vor, dass die s-Komponente einer ECDSA-Signatur in der unteren Hälfte der Ordnung der elliptischen Kurve (n/2) liegen muss. Dies eliminiert effektiv die (r, n - s)-Manipulierbarkeit, da n - s in die obere Hälfte fallen würde, wenn s in der unteren Hälfte war, und umgekehrt. Durch die Durchsetzung dieser Regel wird nur ein gültiger s-Wert (der „Low S“) akzeptiert, wodurch Signaturen nicht manipulierbar werden. Ethereum, obwohl ebenfalls ECDSA verwendet, steht vor ähnlichen Überlegungen, insbesondere bei Smart Contracts, die sich auf ecrecover verlassen. Entwickler müssen sich dieser Eigenschaft bewusst sein und Schutzmaßnahmen implementieren, wie die Überprüfung auf niedrige S-Werte oder die Einbeziehung eindeutiger Nonces in signierte Nachrichten, um Replay-Angriffe zu verhindern.

Häufige Missverständnisse

Eines der häufigsten Missverständnisse bezüglich Signature-Malleability ist, dass sie direkt zu einer Kompromittierung des privaten Schlüssels führt. Dies ist falsch. Signature-Malleability ermöglicht die Modifikation einer bestehenden gültigen Signatur, um eine andere gültige Signatur für dieselbe Nachricht zu erstellen, ohne jemals Zugriff auf den privaten Schlüssel zu benötigen, der die ursprüngliche Signatur generiert hat. Der Angreifer lernt den privaten Schlüssel nicht und kann auch keine Signaturen für andere Nachrichten fälschen. Die Sicherheit des privaten Schlüssels bleibt intakt; lediglich die spezifische kryptografische Darstellung der Signatur wird verändert.

Ein weiteres verbreitetes Missverständnis ist, dass Signature-Malleability direktes Double-Spending im Sinne ermöglicht, dass ein Angreifer dieselben Gelder zweimal aus demselben ungenutzten Transaktions-Output (UTXO) auf der Blockchain ausgeben kann. Obwohl es Szenarien schaffen kann, die für einen Benutzer oder ein System wie Double-Spending erscheinen, wird die Blockchain selbst immer nur eine gültige Ausgabe eines UTXO bestätigen. Das Problem entsteht, wenn ein System, wie eine Börse, die ursprüngliche Transaktion aufgrund einer TXID-Änderung aus den Augen verliert und dann eine zweite, identische Transaktion vom Sender verarbeitet. Die Blockchain wird letztendlich nur eine akzeptieren, aber die Verwirrung kann zu finanziellen Verlusten für den Vermittler führen. Schließlich gibt es oft Verwirrung zwischen Transaktions-Malleability und Signature-Malleability. Signature-Malleability ist eine spezifische Art der Transaktions-Malleability, die sich auf die Signaturkomponente konzentriert. Transaktions-Malleability ist ein breiterer Begriff, der sich auf jede Modifikation der Transaktionsdaten (z. B. scriptSig, Reihenfolge der Eingaben/Ausgaben) beziehen kann, die ihre TXID ändert, ohne die Transaktion ungültig zu machen, selbst wenn die Signatur selbst nicht direkt verändert wird. Während Signature-Malleability ein Hauptvektor war, existierten auch andere Formen der Transaktions-Malleability und wurden durch verschiedene Protokoll-Upgrades behoben.

Zusammenfassung

Signature-Malleability, insbesondere innerhalb des ECDSA-Schemas, stellt eine kryptografische Eigenschaft dar, bei der eine gültige digitale Signatur in eine andere, gleichermaßen gültige Signatur für dieselbe Nachricht umgewandelt werden kann, ohne den privaten Schlüssel zu kompromittieren. Dieses Phänomen beeinflusst primär die eindeutige Kennung einer Transaktion, die TXID, und ermöglicht deren Änderung durch Dritte vor der Bestätigung. Historisch stellte dies erhebliche Herausforderungen für frühe Blockchain-Systeme wie Bitcoin dar, führte zu Problemen bei der Transaktionsverfolgung, potenziellen „gefälschten“ Double-Spending-Szenarien und trug zu Ereignissen wie dem Mt. Gox-Zusammenbruch bei.

Die Kryptowährungs-Community hat diese Risiken weitgehend durch Protokoll-Upgrades wie die Bitcoin Improvement Proposals (BIP 66 und BIP 146) gemindert, die strenge Signaturkodierungsregeln und die „Low S Value“-Anforderung durchsetzen und so die ECDSA-Signature-Malleability in modernen Bitcoin-Transaktionen effektiv eliminieren. Für Smart-Contract-Plattformen wie Ethereum müssen Entwickler wachsam bleiben und robuste Prüfungen implementieren, wenn sie Funktionen wie ecrecover verwenden, um Replay-Angriffe zu verhindern. Das Verständnis von Signature-Malleability ist unerlässlich, um die Entwicklung der Blockchain-Sicherheit und die kontinuierlichen Bemühungen zur Verbesserung der Robustheit und Zuverlässigkeit dezentraler Systeme zu würdigen.