TLS-angreb: BEAST, POODLE og downgrade

TLS-angreb falder i tre kategorier: protokolniveau (BEAST, POODLE, DROWN), kryptografiske angreb (skævheder i RC4, Lucky13) og implementeringsangreb (Heartbleed, BERserk). TLS 1.3 fjerner angrebene på protokolniveau ved at fjerne sårbare algoritmer.

Browser Exploit Against SSL/TLS udnytter CBC-tilstanden i TLS 1.0, hvor IV'en for hver record er den sidste chiffertekstblok i den foregående record (forudsigelig IV). Angriberen indsætter blokke med valgt klartekst for at gendanne sessionscookies via et angreb med valgt grænse.

Løsning: brug TLS 1.1+ (tilfældige IV'er pr. record), eller brug RC4 i stedet for CBC (en dårlig afvejning). Den moderne løsning er, at TLS 1.3 kun bruger AEAD — ingen CBC. Browsere afværgede BEAST via recordopdeling i formatet 1/n-1, før TLS 1.1 blev udbredt.

Padding Oracle On Downgraded Legacy Encryption angriber CBC-tilstanden i SSL 3.0. Polstringen i SSL 3.0 er ikke integritetsbeskyttet, hvilket muliggør et polstringsorakel. Angriberen tvinger en nedgradering til SSL 3.0 gennem forbindelsesfejl og dekrypterer derefter 1 byte pr. ~256 forespørgsler.

Deaktivér SSL 3.0 helt (TLS_FALLBACK_SCSV-udvidelsen signalerer en tilsigtet nedgradering for at forhindre ondsindede nedgraderinger). POODLE gælder også for TLS-implementeringer, der fejlagtigt ignorerer CBC-polstringens struktur.

Decrypting RSA with Obsolete and Weakened eNcryption: Hvis en server deler en RSA-nøgle med en server, der accepterer SSLv2, kan Bleichenbacher-lignende polstringsorakelangreb mod SSLv2 dekryptere TLS 1.2-sessioner. 33 % af HTTPS-serverne var berørt.

En aktiv angriber kan droppe eller ødelægge pakker for at tvinge begge ender til at forhandle en svagere protokol eller cipher suite. TLS_FALLBACK_SCSV (RFC 7507) angiver den højeste protokolversion, klienten understøtter, og forhindrer en ondsindet nedgradering.

Timingbaseret sidekanal i TLS med CBC-tilstand: Tiden til MAC-verifikation varierer afhængigt af polstringens længde. Angriberen måler svartiden for at skelne mellem gyldig og ugyldig polstring, hvilket muliggør et polstringsorakel over netværket. Det kræver ~2^23 orakelforespørgsler pr. byte.

RC4 producerer skæve bytes — byte 2 har en tendens til at være 0. I TLS-sessioner, hvor headerne gentages ved faste forskydninger (cookies), er statistisk gendannelse af klarteksten mulig med ~2^24 observationer. RC4 er forbudt i TLS siden RFC 7465 (2015).

Det er ikke en fejl i TLS-protokollen, men en fejl i OpenSSL-implementeringen: Heartbeat-udvidelsen læste op til 64 KB ud over den tilsigtede buffer og lækkede private nøgler, sessionstokens og adgangskoder fra serverens hukommelse. 17 % af de sikre webservere var sårbare.

TLS 1.3 fjerner CBC-ciphers, RC4, SSL 2.0/3.0, statisk RSA-nøgleudveksling og komprimering. Obligatorisk ECDHE sikrer forward secrecy. Den indsnævrede liste over cipher suites eliminerer angrebsfladen for alle kendte angreb på protokolniveau.

Du har undersøgt angrebene BEAST, POODLE, DROWN, Lucky13 og skævheder i RC4. TLS 1.3 eliminerer de forhold, der gjorde disse angreb mulige. Næste emne er JWT-struktur, signering og sårbarheder.