هجمات TLS: BEAST وPOODLE وخفض الإصدار

تنقسم هجمات TLS إلى هجمات على مستوى البروتوكول (BEAST وPOODLE وDROWN)، وهجمات تشفيرية (انحيازات RC4 وLucky13)، وهجمات على مستوى التنفيذ (Heartbleed وBERserk). ويزيل TLS 1.3 هجمات مستوى البروتوكول بإزالة الخوارزميات المعرضة للخطر.

استغلال المتصفح ضد SSL/TLS: يستغل نمط CBC في TLS 1.0، حيث يكون IV لكل سجل هو كتلة النص المشفر الأخيرة من السجل السابق، أي IV يمكن التنبؤ به. ويحقن المهاجم كتل نص صريح يختارها لاستعادة ملفات تعريف الارتباط الخاصة بالجلسة عبر هجوم يعتمد على حدود يختارها.

الإصلاح هو استخدام TLS 1.1 أو أحدث، مع IVs عشوائية لكل سجل، أو استخدام RC4 بدلًا من CBC، وهو مقايضة سيئة. أما الإصلاح الحديث فيتمثل في أن TLS 1.3 يستخدم AEAD فقط، من دون CBC. وقد خففت المتصفحات من BEAST باستخدام تقسيم السجل 1/n-1 قبل انتشار TLS 1.1 على نطاق واسع.

Padding Oracle on Downgraded Legacy Encryption: يهاجم نمط CBC في SSL 3.0. ولا يحظى الحشو في SSL 3.0 بحماية سلامة البيانات، مما يتيح padding oracle. ويفرض المهاجم خفض الإصدار إلى SSL 3.0 عبر التسبب في فشل الاتصالات، ثم يفك تشفير بايت واحد لكل نحو 256 طلبًا.

عطّلوا SSL 3.0 بالكامل؛ إذ تشير إضافة TLS_FALLBACK_SCSV إلى أن خفض الإصدار مقصود، لمنع عمليات الخفض الضارة. وينطبق POODLE أيضًا على تطبيقات TLS التي تتجاهل بنية حشو CBC بصورة غير صحيحة.

فك تشفير RSA باستخدام تشفير قديم وضعيف: إذا شارك خادم مفتاح RSA مع أي خادم يقبل SSLv2، فيمكن لهجمات padding oracle على SSLv2، على نمط Bleichenbacher، فك تشفير جلسات TLS 1.2. وقد تأثر 33% من خوادم HTTPS.

يمكن لمهاجم نشط إسقاط الحزم أو إتلافها لإجبار الطرفين على التفاوض بشأن بروتوكول أو شيفرة أضعف. وتشير TLS_FALLBACK_SCSV (RFC 7507) إلى أقصى إصدار بروتوكول يدعمه العميل، مما يمنع خفض الإصدار الضار.

قناة جانبية زمنية في TLS ذي نمط CBC: يختلف زمن التحقق من MAC باختلاف طول الحشو. ويقيس المهاجم زمن الاستجابة للتمييز بين الحشو الصالح وغير الصالح، مما يتيح padding oracle عبر الشبكة. ويتطلب ذلك نحو 2^23 استعلامًا إلى oracle لكل بايت.

ينتج RC4 بايتات منحازة؛ إذ يميل البايت 2 إلى القيمة 0. وفي جلسات TLS التي تتكرر فيها الترويسات عند إزاحات ثابتة، مثل ملفات تعريف الارتباط، يمكن استعادة النص الصريح إحصائيًا باستخدام نحو 2^24 عينة. وقد حُظر RC4 في TLS منذ RFC 7465 (2015).

لا يُعد Heartbleed عيبًا في بروتوكول TLS، بل خطأً في تنفيذ OpenSSL: فقد كانت إضافة Heartbeat تقرأ ما يصل إلى 64 KB بعد نهاية المخزن المؤقت المقصود، مما يسرّب المفاتيح الخاصة ورموز الجلسات وكلمات المرور من ذاكرة الخادم. وكان 17% من خوادم الويب الآمنة عرضة للخطر.

يزيل TLS 1.3 شيفرات CBC وRC4 وSSL 2.0/3.0 وتبادل المفاتيح باستخدام RSA الساكن والضغط. ويضمن ECDHE الإلزامي السرية الأمامية. وتؤدي قائمة الشيفرات الأضيق إلى إزالة مساحة الهجوم الخاصة بجميع هجمات مستوى البروتوكول المعروفة.

أي هجوم استغل IVs يمكن التنبؤ بها في نمط CBC ضمن TLS 1.0؟

لقد درستم هجمات BEAST وPOODLE وDROWN وLucky13 وهجمات انحياز RC4. ويزيل TLS 1.3 الظروف التي أتاحت هذه الهجمات. والخطوة التالية هي دراسة بنية JWT وتوقيعه وثغراته.