Ataki na TLS: BEAST, POODLE i downgrade

Ataki TLS dzielą się na ataki na poziomie protokołu (BEAST, POODLE, DROWN), ataki kryptograficzne (biasy RC4, Lucky13) oraz ataki na implementację (Heartbleed, BERserk). TLS 1.3 eliminuje ataki na poziomie protokołu, usuwając podatne algorytmy.

Browser Exploit Against SSL/TLS: wykorzystuje tryb CBC w TLS 1.0, w którym IV dla każdego rekordu jest ostatnim blokiem szyfrogramu poprzedniego rekordu (przewidywalny IV). Atakujący wstrzykuje wybrane bloki tekstu jawnego, aby odzyskać ciasteczka sesyjne za pomocą ataku na wybranej granicy.

Rozwiązanie: należy używać TLS 1.1+ (losowe IV dla każdego rekordu) albo zamiast CBC użyć RC4 (zły kompromis). Współczesne rozwiązanie: TLS 1.3 używa wyłącznie AEAD — bez CBC. Przeglądarki ograniczały BEAST za pomocą dzielenia rekordów 1/n-1, zanim TLS 1.1 stał się powszechny.

Padding Oracle On Downgraded Legacy Encryption: atakuje tryb CBC w SSL 3.0. Dopełnienie SSL 3.0 nie jest objęte ochroną integralności, co umożliwia utworzenie wyroczni dopełnienia. Atakujący wymusza obniżenie wersji do SSL 3.0 za pomocą błędów połączenia, a następnie odszyfrowuje 1 bajt na około 256 żądań.

Należy całkowicie wyłączyć SSL 3.0 (rozszerzenie TLS_FALLBACK_SCSV sygnalizuje zamierzone obniżenie wersji, aby zapobiegać złośliwym obniżeniom). POODLE dotyczy również implementacji TLS, które nieprawidłowo ignorują strukturę dopełnienia CBC.

Decrypting RSA with Obsolete and Weakened eNcryption: jeśli serwer współdzieli klucz RSA z dowolnym serwerem akceptującym SSLv2, ataki typu padding oracle w SSLv2, podobne do ataku Bleichenbachera, mogą odszyfrować sesje TLS 1.2. Dotyczyło to 33% serwerów HTTPS.

Aktywny atakujący może odrzucać lub uszkadzać pakiety, aby zmusić oba punkty końcowe do uzgodnienia słabszego protokołu lub szyfru. TLS_FALLBACK_SCSV (RFC 7507) sygnalizuje maksymalną wersję protokołu obsługiwaną przez klienta, zapobiegając złośliwemu obniżeniu wersji.

Timing side-channel w TLS wykorzystującym tryb CBC: czas weryfikacji MAC zmienia się w zależności od długości dopełnienia. Atakujący mierzy czas odpowiedzi, aby rozróżnić prawidłowe i nieprawidłowe dopełnienie, co umożliwia utworzenie wyroczni dopełnienia działającej przez sieć. Wymaga około 2^23 zapytań do wyroczni na każdy bajt.

RC4 generuje obciążone statystycznie bajty — bajt 2 jest częściej równy 0. W sesjach TLS, w których nagłówki powtarzają się na stałych przesunięciach (ciasteczka), możliwe jest statystyczne odzyskanie tekstu jawnego przy użyciu około 2^24 próbek. RC4 jest zabroniony w TLS na mocy RFC 7465 (2015).

Nie jest to wada protokołu TLS, lecz błąd implementacji OpenSSL: rozszerzenie Heartbeat odczytywało do 64 KB poza zamierzonym buforem, ujawniając klucze prywatne, tokeny sesji i hasła z pamięci serwera. Podatnych było 17% bezpiecznych serwerów WWW.

TLS 1.3 usuwa szyfry CBC, RC4, SSL 2.0/3.0, wymianę kluczy ze statycznym RSA oraz kompresję. Obowiązkowe ECDHE zapewnia forward secrecy. Zawężona lista szyfrów eliminuje powierzchnię ataku dla wszystkich znanych ataków na poziomie protokołu.

Który atak wykorzystywał przewidywalne IV w trybie CBC protokołu TLS 1.0?

Przeanalizowali Państwo ataki BEAST, POODLE, DROWN, Lucky13 oraz ataki wykorzystujące biasy RC4. TLS 1.3 eliminuje warunki, które umożliwiały te ataki. Następnie: struktura JWT, podpisywanie i podatności.