TLS-hyökkäykset: BEAST, POODLE ja version heikennys

TLS-hyökkäykset voidaan jakaa protokollatason hyökkäyksiin (BEAST, POODLE, DROWN), kryptografisiin hyökkäyksiin (RC4:n vinoumat, Lucky13) ja toteutustason hyökkäyksiin (Heartbleed, BERserk). TLS 1.3 poistaa protokollatason hyökkäykset poistamalla haavoittuvat algoritmit.

Browser Exploit Against SSL/TLS: hyödyntää TLS 1.0:n CBC-tilaa, jossa kunkin tietueen IV on edellisen tietueen viimeinen salatekstilohko (ennustettava IV). Hyökkääjä syöttää valitsemiaan selvätekstiblokkeja ja palauttaa istuntoevästeet valitun rajan avulla tehdyllä hyökkäyksellä.

Korjaus: käyttäkää TLS 1.1:tä tai uudempaa (satunnaiset IV:t tietuetta kohti) tai käyttäkää CBC:n sijaan RC4:ää (huono kompromissi). Nykyinen ratkaisu: TLS 1.3 käyttää vain AEAD-salausta — ei CBC:tä. Selaimet lievensivät BEAST-hyökkäystä jakamalla tietueet 1/n-1-menetelmällä, ennen kuin TLS 1.1 yleistyi.

Padding Oracle on Downgraded Legacy Encryption: hyökkää SSL 3.0:n CBC-tilaa vastaan. SSL 3.0:n täytettä ei suojata eheydellä, mikä mahdollistaa padding oracle -hyökkäyksen. Hyökkääjä pakottaa yhteyden SSL 3.0:aan yhteysvirheiden avulla ja purkaa sen jälkeen yhden tavun noin 256 pyynnöllä.

Poistakaa SSL 3.0 kokonaan käytöstä (TLS_FALLBACK_SCSV-laajennus ilmaisee tarkoituksellisen version pudotuksen ja estää haitalliset version pudotukset). POODLE koskee myös TLS-toteutuksia, jotka ohittavat CBC-täytteen rakenteen virheellisesti.

Decrypting RSA with Obsolete and Weakened eNcryption: jos palvelin käyttää samaa RSA-avainta kuin jokin SSLv2:ta hyväksyvä palvelin, SSLv2:een kohdistuvat Bleichenbacher-tyyppiset padding oracle -hyökkäykset voivat purkaa TLS 1.2 -istuntojen salauksen. Tämä koski 33 %:a HTTPS-palvelimista.

Aktiivinen hyökkääjä voi pudottaa tai turmella paketteja pakottaakseen molemmat päätepisteet neuvottelemaan heikomman protokollan tai salausmenetelmän. TLS_FALLBACK_SCSV (RFC 7507) ilmaisee asiakkaan tukeman enimmäisprotokollaversion ja estää haitallisen version pudotuksen.

TLS:n CBC-tilan ajoitukseen perustuva sivukanava: MAC-tarkistuksen kesto vaihtelee täytteen pituuden mukaan. Hyökkääjä mittaa vastausaikaa erottaakseen kelvollisen täytteen virheellisestä, mikä mahdollistaa verkon yli toimivan padding oracle -hyökkäyksen. Hyökkäys vaatii noin 2^23 oraakkelikyselyä tavua kohti.

RC4 tuottaa vinoutuneita tavuja — tavu 2 painottuu arvoon 0. TLS-istunnoissa, joissa otsakkeet toistuvat kiinteissä kohdissa (evästeet), selvätekstin tilastollinen palauttaminen on mahdollista noin 2^24 näytteen avulla. RC4 on kielletty TLS:ssä RFC 7465:n (2015) jälkeen.

Ei TLS-protokollan virhe vaan OpenSSL:n toteutusvika: Heartbeat-laajennus luki enintään 64 kilotavua aiotun puskurin ulkopuolelta ja vuoti palvelimen muistista yksityisiä avaimia, istuntotunnisteita ja salasanoja. 17 % suojatuista verkkopalvelimista oli haavoittuvia.

TLS 1.3 poistaa CBC-salaukset, RC4:n, SSL 2.0/3.0:n, staattisen RSA-avaintenvaihdon ja pakkauksen. Pakollinen ECDHE varmistaa forward secrecy -suojauksen. Suppea salausluettelo poistaa kaikkien tunnettujen protokollatason hyökkäysten hyökkäyspinta-alan.

Olette tutustuneet BEAST-, POODLE-, DROWN-, Lucky13- ja RC4:n vinoumihin kohdistuviin hyökkäyksiin. TLS 1.3 poistaa näiden mahdollistaneet olosuhteet. Seuraavaksi käsitellään JWT:n rakennetta, allekirjoittamista ja haavoittuvuuksia.