TLS-aanvallen: BEAST, POODLE en downgrade

TLS-aanvallen vallen uiteen in aanvallen op protocolniveau (BEAST, POODLE, DROWN), cryptografische aanvallen (RC4-biases, Lucky13) en implementatieaanvallen (Heartbleed, BERserk). TLS 1.3 elimineert de aanvallen op protocolniveau door kwetsbare algoritmen te verwijderen.

Browser Exploit Against SSL/TLS: maakt misbruik van de CBC-modus in TLS 1.0, waarbij de IV voor elk record het laatste versleutelde tekstblok van het vorige record is (een voorspelbare IV). De aanvaller voegt blokken met gekozen klare tekst in om sessiecookies terug te halen via een aanval met een gekozen grens.

Oplossing: gebruik TLS 1.1+ (willekeurige IV's per record), of gebruik RC4 in plaats van CBC (een slechte afweging). De moderne oplossing is TLS 1.3, dat alleen AEAD gebruikt en geen CBC. Browsers beperkten BEAST met splitsing van records in 1/n-1 voordat TLS 1.1 breed werd gebruikt.

Padding Oracle On Downgraded Legacy Encryption: valt de CBC-modus van SSL 3.0 aan. De opvulling van SSL 3.0 wordt niet beschermd tegen manipulatie, waardoor een padding-orakel mogelijk is. De aanvaller dwingt via verbindingsfouten een terugval naar SSL 3.0 af en ontsleutelt daarna 1 byte per ongeveer 256 aanvragen.

Schakel SSL 3.0 volledig uit (de TLS_FALLBACK_SCSV-extensie geeft aan dat een terugval opzettelijk is en voorkomt zo kwaadaardige protocolverlagingen). POODLE is ook van toepassing op TLS-implementaties die de structuur van CBC-opvulling onjuist negeren.

Decrypting RSA with Obsolete and Weakened eNcryption: als een server een RSA-sleutel deelt met een server die SSLv2 accepteert, kunnen padding-orakelaanvallen in Bleichenbacher-stijl tegen SSLv2 TLS 1.2-sessies ontsleutelen. 33% van de HTTPS-servers was getroffen.

Een actieve aanvaller kan pakketten verwijderen of beschadigen om beide eindpunten te dwingen een zwakker protocol of cijferalgoritme te onderhandelen. TLS_FALLBACK_SCSV (RFC 7507) geeft de hoogste protocolversie aan die de client ondersteunt en voorkomt een kwaadaardige protocolverlaging.

Timingaanval via een zijkanaal in TLS met CBC-modus: de tijd voor MAC-verificatie varieert afhankelijk van de lengte van de opvulling. De aanvaller meet de responstijd om geldige van ongeldige opvulling te onderscheiden, waardoor via het netwerk een padding-orakel ontstaat. Er zijn ongeveer 2^23 orakelopvragingen per byte nodig.

RC4 produceert bytes met een niet-uniforme verdeling: byte 2 heeft een voorkeur voor 0. Voor TLS-sessies waarin headers op vaste posities worden herhaald (zoals cookies), kan de leesbare tekst statistisch worden gereconstrueerd met ongeveer 2^24 steekproeven. RC4 is sinds RFC 7465 (2015) verboden in TLS.

Dit is geen fout in het TLS-protocol, maar een implementatiefout in OpenSSL: de Heartbeat-extensie las tot 64 KB voorbij de bedoelde buffer en lekte privésleutels, sessietokens en wachtwoorden uit het servergeheugen. 17% van de beveiligde webservers was kwetsbaar.

TLS 1.3 verwijdert CBC-cijfersuites, RC4, SSL 2.0/3.0, statische RSA-sleuteluitwisseling en compressie. ECDHE zorgt verplicht voor voorwaartse geheimhouding. De beperkte lijst met ciphersuites elimineert het aanvalsoppervlak voor alle bekende aanvallen op protocolniveau.

Je hebt de aanvallen BEAST, POODLE, DROWN, Lucky13 en RC4-biasaanvallen bestudeerd. TLS 1.3 elimineert de omstandigheden die deze aanvallen mogelijk maakten. Hierna leer je over de structuur, ondertekening en kwetsbaarheden van JWT's.