Ataques de Temporização em Código no Nível da Aplicação

O operador padrão de igualdade de cadeias de caracteres na maioria das linguagens de programação termina assim que encontra uma diferença. O == do Python aplicado a objetos bytes, o strcmp do C e o String.equals do Java retornam imediatamente quando encontram o primeiro byte diferente. Em comparações comuns de cadeias de caracteres, isso é uma otimização; porém, ao comparar valores secretos, como marcas de MAC ou senhas, cria um canal lateral temporal mensurável que vaza informações.

Um atacante mede o tempo necessário para comparar uma etiqueta HMAC enviada com o valor correto. Enviar uma etiqueta HMAC cuja primeira unidade de dados esteja correta leva um pouco mais de tempo do que enviar uma em que o primeiro byte esteja errado (uma comparação adicional de byte). Ao enviar muitos valores com cada possível primeiro byte e medir os tempos de resposta, o atacante identifica o primeiro byte correto. Esse processo se repete byte a byte até que a etiqueta completa seja recuperada.

Os ataques modernos de temporização pela rede conseguem detectar diferenças de dezenas a centenas de nanossegundos pela internet. Uma comparação de HMAC de 32 bytes, na qual cada byte correto acrescenta cerca de 10 a 100 ns ao tempo de processamento, fornece um sinal mensurável quando se fazem medições repetidas suficientes para calcular a média da variação da rede. Em uma rede local, até diferenças de um único nanossegundo podem ser exploradas com uma amostragem estatística suficiente.

No Python, comparar etiquetas MAC com == não é seguro: if mac == submitted_mac retorna True ou False com base na posição da primeira divergência. Um atacante que envia milhares de etiquetas especialmente criadas e mede os tempos de resposta pode recuperar a etiqueta esperada byte a byte. Essa vulnerabilidade já apareceu em aplicações web de produção que implementaram incorretamente a comparação de tokens de sessão ou chaves de API sem funções de tempo constante.

hmac.compare_digest(a, b) do Python compara dois valores de bytes ou de cadeias de caracteres em tempo constante, levando o mesmo tempo independentemente do local em que ocorre a primeira divergência. A função é implementada em C para garantir um comportamento de tempo constante mesmo com a sobrecarga da interpretação do código de bytes do Python. Use sempre hmac.compare_digest para comparar etiquetas MAC, tokens de sessão, chaves de API ou qualquer valor cuja informação de temporização possa ser perigosa.

O OpenSSL fornece CRYPTO_memcmp(a, b, length) para comparação de memória em tempo constante. Diferentemente de memcmp, a função sempre processa todos os bytes indicados por length, independentemente de divergências antecipadas. O valor de retorno é zero quando os valores são iguais e diferente de zero quando são diferentes. É importante sempre comparar o comprimento esperado completo: comparar valores de comprimentos diferentes usando o menor comprimento ainda pode vazar informações sobre o comprimento. Use CRYPTO_memcmp em qualquer comparação crítica para a segurança no código C/C++ que utiliza OpenSSL.

Os ataques de temporização vão além da comparação de cadeias de caracteres. O ataque de Bleichenbacher de 2006 contra a descriptografia RSA PKCS#1 v1.5 demonstrou um oráculo prático de temporização contra implementações de SSL/TLS. O tempo da operação com a chave privada RSA variava conforme o valor descriptografado tivesse um preenchimento PKCS#1 válido. Ao enviar milhares de textos cifrados especialmente criados, os atacantes poderiam recuperar chaves privadas RSA. Isso motivou o uso de RSA-OAEP e de implementações RSA em tempo constante.

Implementações de AES que usam tabelas de consulta (uma prática comum para obter desempenho) acessam entradas diferentes com base na chave e no texto simples. Acertos e falhas de cache criam diferenças de temporização mensuráveis que revelam informações sobre quais entradas da tabela foram acessadas. Esse canal lateral pode revelar chaves AES. A defesa consiste em usar implementações de AES que não dependam de consultas a tabelas, como instruções de hardware AES-NI ou implementações de software baseadas em bits.

Escrever código em tempo constante exige evitar: desvios condicionais baseados em dados secretos (utilize seleção sem desvios com mascaramento), padrões de acesso à memória que dependam de dados secretos (evite tabelas de consulta indexadas por segredos) e quaisquer operações cuja latência dependa de valores secretos (por exemplo, divisão em alguns processadores). Os compiladores podem eliminar construções de tempo constante durante a otimização, portanto, talvez sejam necessários código em linguagem assembly ou acessos voláteis à memória em seções críticas.

A melhor defesa contra ataques de temporização na comparação de MAC é usar modos AEAD (GCM, ChaCha20-Poly1305) e delegar a verificação do MAC à biblioteca criptográfica. As implementações da biblioteca realizam a verificação internamente em tempo constante. Se você usa AEAD corretamente (a descriptografia falha diante de qualquer adulteração; nunca descriptografe antes de verificar a etiqueta), não precisa comparar etiquetas MAC no código da aplicação, eliminando completamente a vulnerabilidade de temporização.

Testar vulnerabilidades de temporização exige uma análise estatística das distribuições dos tempos de resposta. Ferramentas como tlsfuzzer, scripts de teste de ataques de temporização e a estrutura dudect ajudam a detectar diferenças de temporização em implementações criptográficas. Um teste t aplicado a amostras de tempos de resposta para entradas que deveriam produzir o mesmo tempo pode revelar diferenças estatisticamente significativas. Falsos negativos são possíveis; a revisão do código em busca de comportamento de tempo constante também é essencial, além dos testes.

Qual função do Python deve ser usada para comparar com segurança uma etiqueta HMAC e evitar ataques de temporização?

Recapitulação dos ataques de temporização: a comparação de cadeias de caracteres com saída antecipada vaza valores secretos byte a byte por meio de diferenças nos tempos de resposta; isso pode ser medido pela rede com amostras suficientes; use hmac.compare_digest no Python e CRYPTO_memcmp no OpenSSL para comparações em tempo constante; ataques de temporização contra o preenchimento RSA comprometem chaves privadas (use RSA em tempo constante e OAEP); ataques de temporização contra consultas a tabelas de AES vazam bits da chave (use AES-NI ou implementações baseadas em bits); e a verificação pela biblioteca AEAD elimina a necessidade de comparar MAC no nível da aplicação.