Ataques contra TLS: BEAST, POODLE y downgrade

Los ataques contra TLS se clasifican en ataques a nivel de protocolo (BEAST, POODLE, DROWN), criptográficos (sesgos de RC4, Lucky13) y de implementación (Heartbleed, BERserk). TLS 1.3 elimina los ataques a nivel de protocolo al retirar los algoritmos vulnerables.

Browser Exploit Against SSL/TLS: explota el modo CBC de TLS 1.0, en el que el IV de cada registro es el último bloque de texto cifrado del registro anterior (IV predecible). El atacante inyecta bloques de texto plano elegidos para recuperar las cookies de sesión mediante un ataque de límite elegido.

Solución: use TLS 1.1 o posterior (IV aleatorios por registro), o use RC4 en lugar de CBC (una mala compensación). La solución moderna es TLS 1.3, que usa únicamente AEAD y no incluye CBC. Los navegadores mitigaron BEAST mediante la división de registros 1/n-1 antes de que TLS 1.1 se generalizara.

Padding Oracle On Downgraded Legacy Encryption: ataca el modo CBC de SSL 3.0. El relleno de SSL 3.0 no está protegido por integridad, lo que permite un oráculo de relleno. El atacante fuerza una degradación a SSL 3.0 provocando fallos de conexión y después descifra 1 byte por cada ~256 solicitudes.

Desactive por completo SSL 3.0 (la extensión TLS_FALLBACK_SCSV indica una degradación intencionada para evitar degradaciones maliciosas). POODLE también afecta a las implementaciones de TLS que ignoran incorrectamente la estructura del relleno CBC.

Decrypting RSA with Obsolete and Weakened eNcryption: si un servidor comparte una clave RSA con cualquier servidor que acepte SSLv2, los ataques de oráculo de relleno al estilo Bleichenbacher contra SSLv2 pueden descifrar sesiones TLS 1.2. El 33 % de los servidores HTTPS se vieron afectados.

Un atacante activo puede descartar o corromper paquetes para obligar a ambos extremos a negociar un protocolo o cifrado más débil. TLS_FALLBACK_SCSV (RFC 7507) indica la versión máxima del protocolo que admite el cliente y evita una degradación maliciosa.

Canal lateral basado en el tiempo en TLS con modo CBC: el tiempo de verificación del MAC varía según la longitud del relleno. El atacante mide el tiempo de respuesta para distinguir entre un relleno válido y uno no válido, lo que permite un oráculo de relleno a través de la red. Se necesitan aproximadamente 2^23 consultas al oráculo por byte.

RC4 produce bytes sesgados: el byte 2 tiende a ser 0. En sesiones TLS cuyos encabezados se repiten en posiciones fijas (cookies), es posible recuperar estadísticamente el texto plano con ~2^24 muestras. RC4 está prohibido en TLS desde RFC 7465 (2015).

No es un fallo del protocolo TLS, sino un error de implementación de OpenSSL: la extensión Heartbeat leía hasta 64 KB más allá del búfer previsto y filtraba claves privadas, tokens de sesión y contraseñas de la memoria del servidor. El 17 % de los servidores web seguros era vulnerable.

TLS 1.3 elimina los cifrados CBC, RC4, SSL 2.0/3.0, el intercambio de claves RSA estático y la compresión. ECDHE obligatorio garantiza el secreto hacia adelante. La lista de cifrados reducida elimina la superficie de ataque de todos los ataques de protocolo conocidos.

¿Qué ataque explotó los IV predecibles del modo CBC de TLS 1.0?

Ha estudiado los ataques BEAST, POODLE, DROWN, Lucky13 y los ataques basados en sesgos de RC4. TLS 1.3 elimina las condiciones que los hacían posibles. A continuación: estructura, firma y vulnerabilidades de JWT.