Attaques TLS : BEAST, POODLE et rétrogradation

Les attaques contre TLS se répartissent en trois catégories : au niveau du protocole (BEAST, POODLE, DROWN), cryptographiques (biais de RC4, Lucky13) et liées à l’implémentation (Heartbleed, BERserk). TLS 1.3 élimine les attaques au niveau du protocole en supprimant les algorithmes vulnérables.

Exploitation du navigateur contre SSL/TLS : cette attaque exploite le mode CBC de TLS 1.0, dans lequel l’IV de chaque enregistrement est le dernier bloc de texte chiffré de l’enregistrement précédent (IV prévisible). L’attaquant injecte des blocs de texte en clair choisis pour récupérer les cookies de session au moyen d’une attaque par frontière choisie.

Correctif : utilisez TLS 1.1 ou une version ultérieure (IV aléatoires pour chaque enregistrement), ou RC4 au lieu de CBC (mauvais compromis). Solution moderne : TLS 1.3 utilise uniquement AEAD, sans CBC. Avant la généralisation de TLS 1.1, les navigateurs atténuaient BEAST en divisant les enregistrements selon la technique 1/n-1.

Oracle de bourrage sur chiffrement ancien après rétrogradation : cette attaque vise le mode CBC de SSL 3.0. Le bourrage de SSL 3.0 n’est pas protégé par l’intégrité, ce qui permet un oracle de bourrage. L’attaquant force une rétrogradation vers SSL 3.0 en provoquant des échecs de connexion, puis déchiffre 1 octet toutes les environ 256 requêtes.

Désactivez complètement SSL 3.0 (l’extension TLS_FALLBACK_SCSV signale une rétrogradation intentionnelle afin d’empêcher les rétrogradations malveillantes). POODLE concerne également les implémentations de TLS qui ignorent incorrectement la structure du bourrage CBC.

Déchiffrement de RSA avec un eNcryption obsolète et affaibli : si un serveur partage une clé RSA avec un serveur qui accepte SSLv2, des attaques par oracle de bourrage de type Bleichenbacher contre SSLv2 peuvent déchiffrer des sessions TLS 1.2. 33 % des serveurs HTTPS étaient concernés.

Un attaquant actif peut supprimer ou altérer des paquets pour forcer les deux extrémités à négocier un protocole ou un chiffrement plus faible. TLS_FALLBACK_SCSV (RFC 7507) signale la version maximale du protocole prise en charge par le client, empêchant ainsi une rétrogradation malveillante.

Canal auxiliaire temporel dans TLS en mode CBC : la durée de vérification du MAC varie selon la longueur du bourrage. L’attaquant mesure le temps de réponse pour distinguer un bourrage valide d’un bourrage invalide, ce qui permet un oracle de bourrage sur le réseau. Il faut environ 2^23 requêtes vers l’oracle par octet.

RC4 produit des octets biaisés : l’octet 2 est davantage susceptible d’être égal à 0. Pour les sessions TLS dont les en-têtes se répètent à des positions fixes (par exemple les cookies), une récupération statistique du texte en clair est possible avec environ 2^24 échantillons. RC4 est interdit dans TLS depuis la RFC 7465 (2015).

Il ne s’agit pas d’une faille du protocole TLS, mais d’un bogue de l’implémentation OpenSSL : l’extension Heartbeat lisait jusqu’à 64 KB au-delà du tampon prévu, exposant des clés privées, des jetons de session et des mots de passe présents dans la mémoire du serveur. 17 % des serveurs web sécurisés étaient vulnérables.

TLS 1.3 supprime les chiffrements CBC, RC4, SSL 2.0/3.0, l’échange de clés RSA statique et la compression. ECDHE obligatoire garantit la confidentialité persistante. La liste de chiffrements réduite élimine la surface d’attaque de toutes les attaques connues au niveau du protocole.

Quelle attaque exploitait des IV prévisibles dans le mode CBC de TLS 1.0 ?

Vous avez étudié les attaques BEAST, POODLE, DROWN, Lucky13 et les attaques exploitant les biais de RC4. TLS 1.3 élimine les conditions qui les rendaient possibles. Ensuite : la structure, la signature et les vulnérabilités des JWT.