Belangrijkste patronen van verkeerd cryptografisch gebruik

De Electronic Codebook-modus (ECB) versleutelt elk blok onafhankelijk met dezelfde sleutel. Identieke blokken klare tekst leveren identieke blokken cijfertekst op. De klassieke demonstratie is de "ECB-pinguïn": wanneer je een bitmapafbeelding met ECB versleutelt, blijft de blokstructuur van de afbeelding behouden, waardoor de omtrek van de pinguïn duidelijk zichtbaar blijft in de cijfertekst. De ECB-modus biedt geen semantische beveiliging en mag nooit worden gebruikt voor enig praktisch versleutelingsdoel.

Cryptografische primitieven helemaal zelf implementeren is een van de gevaarlijkste praktijken binnen softwareontwikkeling. Cryptografie vereist volledige correctheid onder vijandige omstandigheden: een subtiel timinglek, een off-by-onefout in de opvulling of een verkeerd begrip van beveiligingsvereisten kan exploiteerbare kwetsbaarheden veroorzaken die bij normaal testen niet te onderscheiden zijn van correct gedrag. Zelfs deskundige cryptografen maken implementatiefouten; ontwikkelaars van toepassingen moeten uitsluitend grondig gecontroleerde bibliotheken gebruiken.

De botsingsbestendigheid van MD5 is sinds 2004 doorbroken; twee bestanden met dezelfde MD5-hash maken is rekenkundig triviaal. SHA-1-botsingsaanvallen zijn in 2017 praktisch aangetoond met de SHAttered-aanval van Google, waarbij twee PDF-bestanden met dezelfde SHA-1-hash werden gegenereerd. Geen van beide mag voor beveiligingsdoeleinden worden gebruikt: digitale handtekeningen, integriteit van inhoud, wachtwoordopslag of HMAC. Gebruik SHA-256, SHA-3 of BLAKE2 voor moderne implementaties.

Het gebruiken van time() of andere voorspelbare waarden om een pseudotoevalsgenerator te initialiseren is een kritieke kwetsbaarheid wanneer de uitvoer van de PRNG voor beveiligingsdoeleinden wordt gebruikt. Een aanvaller die ongeveer weet wanneer een sleutel is gegenereerd, kan alle mogelijke initialisatiewaarden in een klein tijdvenster met brute kracht doorzoeken om de sleutel te herstellen. Een klassiek voorbeeld: vroege versies van Netscape initialiseerden SSL-sleutelgeneratie met de tijd en proces-ID, die beide waarneembaar waren voor een aanvaller op dezelfde machine.

rand() in C, java.util.Random en de random-module van Python gebruiken deterministische lineaire congruentiegeneratoren of Mersenne Twister. Ze zijn ontworpen voor statistische kwaliteit in simulaties, niet voor beveiliging. Een aanvaller die genoeg uitvoer van deze generatoren observeert, kan hun interne toestand reconstrueren en alle toekomstige uitvoer voorspellen. Gebruik voor beveiligingsdoeleinden CSPRNG's die door het besturingssysteem worden geleverd: secrets.token_bytes() in Python, crypto.randomBytes() in Node.js of /dev/urandom op Linux.

Versleuteling zonder authenticatie biedt alleen vertrouwelijkheid, geen integriteit. Een aanvaller die de klare tekst niet kan lezen, kan de cijfertekst nog steeds wijzigen, waardoor mogelijk voorspelbare wijzigingen in de klare tekst ontstaan (vooral in de modi CTR of CBC). Deze kneedbaarheid maakt aanvallen mogelijk: een aanvaller die een versleutelde banktransactie onderschept, kan bits omklappen om het overschrijvingsbedrag of de doelrekening te wijzigen zonder de klare tekst te kennen. Gebruik altijd geauthenticeerde versleuteling (AEAD).

Encryptiesleutels of initialisatievectoren in broncode vastleggen is een kritieke kwetsbaarheid. Broncode wordt vaak vastgelegd in opslagplaatsen voor versiebeheer, soms openbare. Zelfs in besloten opslagplaatsen heeft iedereen met toegang tot de code de sleutel. Hardgecodeerde sleutels betekenen dat alle instanties dezelfde sleutel gebruiken en dat sleutelrotatie een nieuwe uitrol vereist. Sleutels moeten worden opgeslagen in omgevingsvariabelen, systemen voor geheimenbeheer (HashiCorp Vault, AWS Secrets Manager) of hardwarebeveiligingsmodules.

Dezelfde initialisatievector voor meerdere versleutelingen met dezelfde sleutel gebruiken, veroorzaakt ernstige kwetsbaarheden. In de CTR-modus zorgt hergebruik van de IV voor dezelfde sleutelstroom, waardoor herstel van de klare tekst met XOR mogelijk wordt. In de CBC-modus kan een aanvaller door hergebruik van de IV detecteren wanneer twee berichten met dezelfde blokken klare tekst beginnen. In GCM is hergebruik van een nonce (IV) catastrofaal (zie de les over hergebruik van nonce). Genereer voor elke versleutelingsbewerking een nieuwe willekeurige IV; sla die vóór de cijfertekst op, samen met de context voor ontsleuteling.

Wachtwoorden opslaan die met MD5, SHA-256 of een andere snelle cryptografische hash zijn gehasht, is onvoldoende. Moderne GPU's kunnen miljarden SHA-256-hashes per seconde berekenen, waardoor offline brutekrachtaanvallen op gestolen hashdatabases triviaal snel worden. Voor het hashen van wachtwoorden zijn speciaal ontworpen trage, geheugenintensieve functies nodig: bcrypt, scrypt of Argon2id. Deze zijn ontworpen om brutekrachtaanvallen duur te maken, zelfs met gespecialiseerde hardware, zodat offline aanvallen rekenkundig onhaalbaar blijven.

Het uitschakelen van SSL/TLS-certificaatvalidatie (in Python ssl.CERT_NONE instellen, -k aan curl doorgeven of trustAllCerts=true instellen in Android) elimineert de bescherming tegen man-in-the-middleaanvallen. Een aanvaller kan elk certificaat aanbieden en alle communicatie onderscheppen. Deze praktijk komt tijdens de ontwikkeling voor om fouten met zelfondertekende certificaten te omzeilen, maar blijft vaak bestaan in productie. Gebruik altijd de juiste certificaatvalidatie en los onderliggende certificaatproblemen correct op.

Cryptografische functies melden fouten via retourwaarden of uitzonderingen. Als je die negeert, kan de uitvoering doorgaan met een ongeldige toestand: ontsleuteling die onleesbare gegevens heeft opgeleverd, een mislukte verificatie of sleutelgeneratie die is mislukt. In C-gebaseerde API's zoals OpenSSL is het negeren van retourwaarden bijzonder gevaarlijk, omdat het programma kan doorgaan met niet-geïnitialiseerd geheugen. Controleer altijd elke retourwaarde van cryptografische functies en handel fouten veilig af.

Belangrijke patronen van verkeerd gebruik die je moet vermijden: gebruik nooit de ECB-modus (lekken van blokpatronen), implementeer cryptografische primitieven nooit zelf, gebruik MD5 en SHA-1 niet voor beveiliging, initialiseer PRNG's met CSPRNG's en niet met time(), gebruik CSPRNG's voor alle beveiligingsgevoelige willekeurigheid, authenticeer versleutelde gegevens altijd (AEAD), hardcodeer nooit sleutels of IV's, genereer voor elke versleuteling een nieuwe IV, gebruik Argon2id voor wachtwoorden en geen snelle hashes, valideer TLS-certificaten altijd en controleer elke cryptografische retourwaarde.