TLS-Angriffe: BEAST, POODLE und Downgrade

TLS-Angriffe lassen sich in Angriffe auf Protokollebene (BEAST, POODLE, DROWN), kryptografische Angriffe (RC4-Biases, Lucky13) und Implementierungsangriffe (Heartbleed, BERserk) einteilen. TLS 1.3 beseitigt die Angriffe auf Protokollebene, indem es verwundbare Algorithmen entfernt.

Browser Exploit Against SSL/TLS: nutzt den CBC-Modus in TLS 1.0 aus, bei dem der IV jedes Records der letzte Chiffretextblock des vorherigen Records ist (vorhersehbarer IV). Der Angreifer schleust Blöcke mit frei gewähltem Klartext ein, um Sitzungscookies über einen Angriff mit frei wählbarer Grenze wiederherzustellen.

Abhilfe: Verwenden Sie TLS 1.1 oder höher (zufällige IVs pro Record) oder RC4 statt CBC (ein schlechter Kompromiss). Die moderne Lösung: TLS 1.3 verwendet ausschließlich AEAD – kein CBC. Browser wehrten BEAST bereits vor der weitverbreiteten Einführung von TLS 1.1 durch eine 1/n-1-Record-Aufteilung ab.

Padding Oracle On Downgraded Legacy Encryption: greift den CBC-Modus von SSL 3.0 an. Das Padding von SSL 3.0 ist nicht integritätsgeschützt, wodurch ein Padding-Oracle ermöglicht wird. Der Angreifer erzwingt durch Verbindungsfehler ein Downgrade auf SSL 3.0 und entschlüsselt anschließend 1 Byte pro etwa 256 Anfragen.

Deaktivieren Sie SSL 3.0 vollständig (die TLS_FALLBACK_SCSV-Erweiterung signalisiert ein absichtliches Downgrade und verhindert dadurch böswillige Downgrades). POODLE betrifft auch TLS-Implementierungen, die die Struktur des CBC-Paddings nicht korrekt ignorieren.

Decrypting RSA with Obsolete and Weakened eNcryption: Wenn ein Server einen RSA-Schlüssel mit einem beliebigen Server teilt, der SSLv2 akzeptiert, können Padding-Oracle-Angriffe nach Bleichenbacher gegen SSLv2 TLS-1.2-Sitzungen entschlüsseln. 33 % der HTTPS-Server waren betroffen.

Ein aktiver Angreifer kann Pakete verwerfen oder beschädigen, um beide Endpunkte dazu zu zwingen, ein schwächeres Protokoll oder eine schwächere Cipher-Suite auszuhandeln. TLS_FALLBACK_SCSV (RFC 7507) signalisiert die höchste vom Client unterstützte Protokollversion und verhindert dadurch ein böswilliges Downgrade.

Timing-Seitenkanal in TLS mit CBC-Modus: Die Dauer der MAC-Prüfung variiert je nach Padding-Länge. Der Angreifer misst die Antwortzeit, um gültiges von ungültigem Padding zu unterscheiden, und kann so über das Netzwerk ein Padding-Oracle aufbauen. Pro Byte sind etwa 2^23 Oracle-Abfragen erforderlich.

RC4 erzeugt verzerrte Bytes – Byte 2 tendiert zu 0. Bei TLS-Sitzungen, in denen sich Header an festen Offsets wiederholen (Cookies), ist eine statistische Wiederherstellung des Klartexts mit etwa 2^24 Stichproben möglich. RC4 ist in TLS seit RFC 7465 (2015) verboten.

Kein Fehler im TLS-Protokoll, sondern ein Implementierungsfehler in OpenSSL: Die Heartbeat-Erweiterung las bis zu 64 KB über den vorgesehenen Puffer hinaus und gab private Schlüssel, Sitzungstoken und Passwörter aus dem Serverspeicher preis. 17 % der sicheren Webserver waren verwundbar.

TLS 1.3 entfernt CBC-Cipher, RC4, SSL 2.0/3.0, den statischen RSA-Schlüsselaustausch und die Komprimierung. ECDHE gewährleistet zwingend Forward Secrecy. Die verkürzte Cipher-Liste beseitigt die Angriffsfläche für alle bekannten Angriffe auf Protokollebene.

Sie haben BEAST-, POODLE-, DROWN-, Lucky13- und RC4-Bias-Angriffe untersucht. TLS 1.3 beseitigt die Bedingungen, die diese Angriffe ermöglichten. Als Nächstes geht es um die Struktur, Signierung und Schwachstellen von JWTs.