TLS-attacker: BEAST, POODLE och nedgradering

TLS-attacker delas in i protokollnivåattacker (BEAST, POODLE, DROWN), kryptografiska attacker (RC4-bias, Lucky13) och implementeringsattacker (Heartbleed, BERserk). TLS 1.3 eliminerar protokollnivåattackerna genom att ta bort sårbara algoritmer.

Browser Exploit Against SSL/TLS: utnyttjar CBC-läget i TLS 1.0, där IV:t för varje post är det sista chiffertextblocket i föregående post (förutsägbart IV). Angriparen injicerar valda klartextblock för att återvinna sessionscookies genom en attack med vald blockgräns.

Åtgärd: använd TLS 1.1+ (slumpmässiga IV:n per post), eller använd RC4 i stället för CBC (en dålig kompromiss). Den moderna åtgärden är att TLS 1.3 endast använder AEAD — ingen CBC. Webbläsare motverkade BEAST genom 1/n-1-postdelning innan TLS 1.1 hade fått bred spridning.

Padding Oracle On Downgraded Legacy Encryption: angriper CBC-läget i SSL 3.0. SSL 3.0:s utfyllnad skyddas inte av integritetskontroll, vilket möjliggör en utfyllnadsorakelattack. Angriparen tvingar fram en nedgradering till SSL 3.0 genom anslutningsfel och dekrypterar sedan 1 byte per cirka 256 förfrågningar.

Inaktivera SSL 3.0 helt (tillägget TLS_FALLBACK_SCSV signalerar en avsiktlig nedgradering för att förhindra skadliga nedgraderingar). POODLE gäller även TLS-implementationer som felaktigt ignorerar CBC-utfyllnadens struktur.

Decrypting RSA with Obsolete and Weakened eNcryption: om en server delar RSA-nyckel med en server som accepterar SSLv2 kan attacker av typen Bleichenbacher med utfyllnadsorakel mot SSLv2 dekryptera TLS 1.2-sessioner. 33 % av HTTPS-servrarna var berörda.

En aktiv angripare kan kasta bort eller korrumpera paket för att tvinga båda slutpunkterna att förhandla fram ett svagare protokoll eller en svagare chiffersvit. TLS_FALLBACK_SCSV (RFC 7507) signalerar den högsta protokollversion som klienten stöder och förhindrar därmed skadlig nedgradering.

Tidsbaserad sidokanalsattack i TLS med CBC-läge: tiden för MAC-verifiering varierar beroende på utfyllnadens längd. Angriparen mäter svarstiden för att skilja giltig från ogiltig utfyllnad, vilket möjliggör en utfyllnadsorakelattack över nätverket. Det krävs cirka 2^23 orakelförfrågningar per byte.

RC4 producerar snedfördelade byte — byte 2 är snedfördelad mot 0. För TLS-sessioner där headers upprepas vid fasta positioner (cookies) är statistisk återvinning av klartext möjlig med cirka 2^24 prover. RC4 är förbjudet i TLS sedan RFC 7465 (2015).

Detta är inte ett fel i TLS-protokollet utan ett OpenSSL-implementeringsfel: Heartbeat-tillägget läste upp till 64 KB utanför den avsedda bufferten och läckte privata nycklar, sessionstoken och lösenord från serverns minne. 17 % av säkra webbservrar var sårbara.

TLS 1.3 tar bort CBC-chiffer, RC4, SSL 2.0/3.0, statiskt RSA-nyckelutbyte och komprimering. Obligatoriskt ECDHE säkerställer framåtsekretess. Den begränsade chifferlistan eliminerar angreppsytan för alla kända protokollnivåattacker.

Ni har studerat attackerna BEAST, POODLE, DROWN, Lucky13 och RC4-bias. TLS 1.3 eliminerar de förhållanden som gjorde dessa attacker möjliga. Nästa steg är JWT-struktur, signering och sårbarheter.