Атаки по времени в коде на уровне приложения

Стандартный оператор сравнения строк на равенство в большинстве языков программирования завершает работу сразу после обнаружения несовпадения. Оператор == в Python для объектов bytes, strcmp в C и String.equals в Java немедленно возвращают результат при обнаружении первого различающегося байта. Для обычного сравнения строк это оптимизация, но при сравнении секретных значений, таких как теги MAC или пароли, она создаёт измеримый побочный канал по времени, который раскрывает сведения.

Злоумышленник измеряет время, необходимое для сравнения представленного тега HMAC с правильным значением. Представление HMAC, у которого первый байт совпадает, занимает немного больше времени, чем представление с неверным первым байтом (выполняется одно дополнительное сравнение байтов). Отправляя множество значений с каждым возможным первым байтом и измеряя время отклика, злоумышленник определяет правильный первый байт. Затем этот процесс повторяется побайтно, пока не будет восстановлен тег целиком.

Современные сетевые атаки по времени позволяют выявлять различия во времени длительностью от десятков до сотен наносекунд через интернет. При сравнении 32-байтного тега HMAC, когда каждый правильно совпавший байт добавляет примерно 10–100 нс ко времени обработки, после достаточного количества повторных измерений возникает измеримый сигнал, позволяющий усреднить сетевой джиттер. В локальной сети при достаточном статистическом количестве измерений можно использовать даже различия длительностью в одну наносекунду.

В Python сравнивать теги MAC с помощью == небезопасно: выражение if mac == submitted_mac возвращает True или False в зависимости от позиции первого несовпадения. Отправляя тысячи специально сформированных тегов и измеряя время отклика, злоумышленник может побайтно восстановить ожидаемый тег. Эта уязвимость встречалась в рабочих веб-приложениях, где сравнение маркеров сеанса или ключей API было неправильно реализовано без функций, выполняющих сравнение за постоянное время.

Функция hmac.compare_digest(a, b) в Python сравнивает два значения — байтовых или строковых — за постоянное время, занимая одинаковое время независимо от положения первого несовпадения. Она реализована на C, чтобы обеспечить постоянное время выполнения даже с учетом накладных расходов интерпретации байткода Python. Всегда используйте hmac.compare_digest для сравнения тегов MAC, маркеров сеанса, ключей API или любых значений, утечка информации о времени обработки которых может быть опасной.

OpenSSL предоставляет функцию CRYPTO_memcmp(a, b, length) для сравнения областей памяти за постоянное время. В отличие от memcmp, она всегда обрабатывает все байты, заданные параметром length, независимо от ранних несовпадений. Возвращаемое значение равно нулю, если значения равны, и ненулю, если они различаются. Важно всегда сравнивать значения полностью ожидаемой длины: сравнение значений разной длины только по меньшей длине все равно может раскрыть информацию об их длине. Используйте CRYPTO_memcmp при любом критически важном для безопасности сравнении в коде на C/C++ с применением OpenSSL.

Атаки по времени не ограничиваются сравнением строк. Атака Блейхенбахера 2006 года на расшифрование RSA PKCS#1 v1.5 продемонстрировала практический оракул по времени против реализаций SSL/TLS. Время выполнения операции с закрытым ключом RSA менялось в зависимости от того, имело ли расшифрованное значение корректное дополнение PKCS#1. Отправляя тысячи специально сформированных шифротекстов, злоумышленники могли восстановить закрытые ключи RSA. Это послужило стимулом для создания RSA-OAEP и реализаций RSA с постоянным временем выполнения.

Реализации AES, использующие таблицы поиска (что распространено для повышения производительности), обращаются к разным элементам таблицы в зависимости от ключа и открытого текста. Попадания в кэш и промахи кэша создают измеримые различия во времени, раскрывающие информацию о том, к каким элементам таблицы обращались. Этот побочный канал может раскрыть ключи AES. Защита заключается в использовании реализаций AES, не зависящих от поиска по таблицам, например аппаратных инструкций AES-NI или программных реализаций с разбиением на биты.

Для написания кода с постоянным временем выполнения необходимо избегать условных переходов, зависящих от секретных данных (используйте выбор без ветвлений с применением масок), шаблонов доступа к памяти, зависящих от секретных данных (избегайте таблиц поиска с индексами, содержащими секреты), а также любых операций, задержка которых зависит от секретных значений (например, деления на некоторых процессорах). Компиляторы могут удалить конструкции с постоянным временем выполнения в ходе оптимизации, поэтому в критических участках могут потребоваться ассемблерный код или обращения к volatile-памяти.

Лучшая защита от атак по времени при сравнении MAC — использовать режимы AEAD (GCM, ChaCha20-Poly1305) и поручать проверку MAC криптографической библиотеке. Реализации библиотек внутренне выполняют проверку за постоянное время. Если вы правильно используете AEAD (расшифрование завершается ошибкой при любом изменении данных, а расшифрование никогда не выполняется до проверки тега), вам вообще не придется сравнивать теги MAC в коде приложения, что полностью устраняет уязвимость, связанную со временем выполнения.

Проверка уязвимостей к атакам по времени требует статистического анализа распределений времени отклика. Такие инструменты, как tlsfuzzer, скрипты для проверки атак по времени и платформа dudect, помогают обнаруживать различия во времени выполнения криптографических реализаций. t-критерий для выборок времени отклика на входных данных, для которых время выполнения должно быть одинаковым, может выявить статистически значимые различия. Возможны ложноотрицательные результаты, поэтому наряду с проверкой необходимо проводить анализ кода на постоянное время выполнения.

Какую функцию Python следует использовать для безопасного сравнения тега HMAC, чтобы предотвратить атаки по времени?

Итоги атак по времени: сравнение строк с досрочным завершением раскрывает секретные значения побайтно через различия во времени отклика; при достаточном количестве измерений это можно обнаружить по сети; в Python для сравнения за постоянное время используйте hmac.compare_digest, а в OpenSSL — CRYPTO_memcmp; атаки по времени на дополнение RSA компрометируют закрытые ключи (используйте RSA с постоянным временем выполнения и OAEP); атаки по времени через поиск по таблицам AES раскрывают биты ключа (используйте AES-NI или реализации с разбиением на биты); проверка библиотекой AEAD устраняет необходимость сравнивать MAC на уровне приложения.