Атаки на TLS: BEAST, POODLE и понижение версии

Атаки на TLS делятся на атаки уровня протокола (BEAST, POODLE, DROWN), криптографические атаки (смещения RC4, Lucky13) и атаки на реализацию (Heartbleed, BERserk). TLS 1.3 устраняет атаки уровня протокола, удаляя уязвимые алгоритмы.

Атака браузера на SSL/TLS: эксплуатирует режим CBC в TLS 1.0, где вектор инициализации каждой записи является последним блоком шифротекста предыдущей записи (предсказуемый вектор инициализации). Злоумышленник внедряет выбранные блоки открытого текста, чтобы восстановить файлы cookie сеанса с помощью атаки с выбранной границей.

Исправление: используйте TLS 1.1 или более новую версию (случайные векторы инициализации для каждой записи) либо RC4 вместо CBC (плохой компромисс). Современное исправление: TLS 1.3 использует только AEAD — без CBC. До широкого распространения TLS 1.1 браузеры предотвращали BEAST с помощью разбиения записей 1/n-1.

Атака с оракулом заполнения при переходе на устаревшее шифрование: атакует режим CBC в SSL 3.0. Заполнение в SSL 3.0 не защищено проверкой целостности, что позволяет создать оракул заполнения. Злоумышленник заставляет соединение перейти на SSL 3.0 с помощью сбоев соединения, а затем расшифровывает по 1 байту примерно за 256 запросов.

Полностью отключите SSL 3.0 (расширение TLS_FALLBACK_SCSV сообщает о намеренном переходе на более старую версию и предотвращает вредоносное понижение версии). POODLE также применима к реализациям TLS, которые некорректно игнорируют структуру заполнения CBC.

Расшифровка RSA с помощью устаревшего и ослабленного eNcryption: если сервер использует один ключ RSA с любым сервером, принимающим SSLv2, атаки на оракул заполнения в стиле Bleichenbacher против SSLv2 могут расшифровать сеансы TLS 1.2. Уязвимыми были 33% серверов HTTPS.

Активный злоумышленник может удалять или повреждать пакеты, заставляя обе конечные точки согласовать более слабый протокол или шифр. TLS_FALLBACK_SCSV (RFC 7507) сообщает максимальную версию протокола, поддерживаемую клиентом, и предотвращает вредоносное понижение версии.

Временной побочный канал в TLS с режимом CBC: время проверки MAC меняется в зависимости от длины заполнения. Злоумышленник измеряет время ответа, чтобы отличить допустимое заполнение от недопустимого, создавая оракул заполнения через сеть. Требуется примерно 2^23 запросов к оракулу на каждый байт.

RC4 выдаёт байты с определёнными смещениями — второй байт чаще равен 0. В сеансах TLS, где заголовки повторяются в фиксированных позициях (например, файлы cookie), статистическое восстановление открытого текста возможно примерно по 2^24 образцам. RC4 запрещён в TLS начиная с RFC 7465 (2015).

Это не ошибка протокола TLS, а ошибка реализации OpenSSL: расширение Heartbeat читало до 64 KB за пределами предназначенного буфера, раскрывая закрытые ключи, токены сеансов и пароли из памяти сервера. Уязвимыми были 17% защищённых веб-серверов.

TLS 1.3 удаляет шифры CBC, RC4, SSL 2.0/3.0, статический обмен ключами RSA и сжатие. Обязательное использование ECDHE обеспечивает прямую секретность. Суженный список наборов шифров устраняет поверхность атаки для всех известных атак уровня протокола.

Вы изучили атаки BEAST, POODLE, DROWN, Lucky13 и атаки на смещения RC4. TLS 1.3 устраняет условия, сделавшие эти атаки возможными. Далее: структура JWT, подписание и уязвимости.