Vanlige mønstre for feilbruk av kryptografi

Electronic Codebook-modus (ECB) krypterer hver blokk uavhengig med den samme nøkkelen. Identiske klartekstblokker gir identiske chiffertekstblokker. Den klassiske demonstrasjonen er «ECB-pingvinen»: Når et punktgrafikkbilde krypteres med ECB, bevares bildets struktur på blokknivå, slik at omrisset av pingvinen er tydelig synlig i chifferteksten. ECB-modus gir ingen semantisk sikkerhet og bør aldri brukes til praktisk kryptering.

Å implementere kryptografiske primitiver fra grunnen av er en av de farligste praksisene innen programvareutvikling. Kryptografi krever perfekt korrekthet under forhold der en angriper aktivt prøver å finne feil: En subtil timing-lekkasje, en feil med polstring på grunn av én enkelt forskyvning eller en misforståelse av sikkerhetskravene kan skape utnyttbare sårbarheter som ikke kan skilles fra korrekt oppførsel i normale tester. Selv ekspertkryptografer gjør implementasjonsfeil; applikasjonsutviklere bør utelukkende bruke biblioteker som er grundig sikkerhetsrevidert.

Det har vært mulig å finne kollisjoner i MD5 siden 2004; det er beregningsmessig trivielt å lage to filer med samme MD5-hash. Kollisjonsangrep mot SHA-1 ble demonstrert i praksis gjennom Googles SHAttered-angrep i 2017, som genererte to PDF-filer med samme SHA-1-hash. Ingen av dem bør brukes til sikkerhetsformål: digitale signaturer, integritetssikring av innhold, passordlagring eller HMAC. Bruk SHA-256, SHA-3 eller BLAKE2 i moderne systemer.

Å bruke time() eller andre forutsigbare verdier som seed for en pseudotilfeldig tallgenerator er en kritisk sårbarhet når PRNG-utdata brukes til sikkerhetsformål. En angriper som vet omtrent når en nøkkel ble generert, kan prøve alle mulige seed-verdier i et kort tidsintervall og gjenopprette nøkkelen. Et klassisk eksempel er at tidlige versjoner av Netscape initierte genereringen av SSL-nøkler med klokkeslett og prosess-ID, som begge kunne observeres av en angriper på samme maskin.

rand() i C, java.util.Random og Pythons random-modul bruker deterministiske lineære kongruensgeneratorer eller Mersenne Twister, som er utviklet for statistisk kvalitet i simuleringer, ikke for sikkerhet. En angriper som observerer nok utdata fra disse generatorene, kan rekonstruere den interne tilstanden og forutsi alle fremtidige utdata. Til sikkerhetsformål bør du bruke CSPRNG-er levert av operativsystemet: secrets.token_bytes() i Python, crypto.randomBytes() i Node.js eller /dev/urandom på Linux.

Kryptering uten autentisering gir bare konfidensialitet, ikke integritet. En angriper som ikke kan lese klarteksten, kan fortsatt endre chifferteksten og dermed potensielt forårsake forutsigbare endringer i klarteksten (særlig i CTR- eller CBC-modus). Denne manipulerbarheten muliggjør angrep: En angriper som avskjærer en kryptert banktransaksjon, kan endre enkeltbiter for å endre overføringsbeløpet eller mottakskontoen uten å kjenne klarteksten. Bruk alltid autentisert kryptering (AEAD).

Hardkoding av krypteringsnøkler eller initialiseringsvektorer i kildekoden er en kritisk sårbarhet. Kildekode lagres ofte i versjonskontrollsystemer, noen ganger i offentlige systemer. Selv i private systemer har alle som har tilgang til koden, tilgang til nøkkelen. Hardkodede nøkler betyr at alle instanser bruker den samme nøkkelen, og at nøkkelrotasjon krever ny utrulling. Nøkler må lagres i miljøvariabler, systemer for håndtering av hemmeligheter (HashiCorp Vault, AWS Secrets Manager) eller maskinvaresikkerhetsmoduler.

Å bruke den samme initialiseringsvektoren til flere krypteringer med den samme nøkkelen skaper alvorlige sårbarheter. I CTR-modus skaper gjenbruk av IV den samme nøkkelstrømmen, slik at klarteksten kan gjenopprettes ved hjelp av XOR. I CBC-modus kan gjenbruk av IV gjøre det mulig for en angriper å oppdage når to meldinger begynner med de samme klartekstblokkene. I GCM er gjenbruk av nonce (IV) katastrofalt (se leksjonen om gjenbruk av nonce). Generer en ny tilfeldig IV for hver krypteringsoperasjon, og sett den foran chifferteksten når den lagres sammen med dekrypteringskonteksten.

Det er ikke tilstrekkelig å lagre passord som er hashet med MD5, SHA-256 eller en annen rask kryptografisk hashfunksjon. Moderne GPU-er kan beregne milliarder av SHA-256-hasher per sekund, noe som gjør offline brute force-angrep mot stjålne hashdatabaser svært raske. Passordhashing krever formålsbygde, trege og minnekrevende funksjoner: bcrypt, scrypt eller Argon2id. Disse er utviklet for å gjøre brute force dyrt selv med spesialisert maskinvare, slik at offline-angrep blir beregningsmessig uoverkommelige.

Deaktivering av SSL/TLS-sertifikatvalidering (ved å sette ssl.CERT_NONE i Python, sende -k til curl eller sette trustAllCerts=true i Android) fjerner beskyttelsen mot man-in-the-middle-angrep. En angriper kan presentere hvilket som helst sertifikat og avskjære all kommunikasjon. Denne praksisen brukes i utvikling for å omgå feil med selvsignerte sertifikater, men blir ofte stående i produksjon. Bruk alltid korrekt sertifikatvalidering, og løs de underliggende sertifikatproblemene på riktig måte.

Kryptografiske funksjoner rapporterer feil gjennom returverdier eller unntak. Hvis disse ignoreres, kan kjøringen fortsette med en ugyldig tilstand: dekryptering som produserte uleselig data, en verifisering som mislyktes eller en nøkkelgenerering som feilet. I C-baserte API-er som OpenSSL er det spesielt farlig å ignorere returverdier, fordi programmet kan fortsette med uinitialisert minne. Kontroller alltid alle returverdier fra kryptografiske funksjoner, og håndter feil på en sikker måte.

Viktige feilbruksmønstre som må unngås: Bruk aldri ECB-modus (lekkasje av blokkmønstre), implementer aldri kryptografiske primitiver selv, avvis MD5 og SHA-1 til sikkerhetsformål, initialiser PRNG-er med CSPRNG og ikke med time(), bruk CSPRNG for all sikkerhetsfølsom tilfeldighet, autentiser alltid krypterte data (AEAD), hardkod aldri nøkler eller IV-er, generer en ny IV for hver kryptering, bruk Argon2id for passord i stedet for raske hashfunksjoner, valider alltid TLS-sertifikater, og kontroller alle returverdier fra kryptografiske funksjoner.