การโจมตี TLS: BEAST, POODLE และการลดระดับ

การโจมตี TLS แบ่งได้เป็นการโจมตีระดับโพรโทคอล (BEAST, POODLE, DROWN) การโจมตีด้านการเข้ารหัส (อคติของ RC4, Lucky13) และการโจมตีจากการนำไปใช้งาน (Heartbleed, BERserk) TLS 1.3 กำจัดการโจมตีระดับโพรโทคอลเหล่านี้ด้วยการนำอัลกอริทึมที่มีช่องโหว่ออก

การโจมตีเบราว์เซอร์ผ่าน SSL/TLS: ใช้ประโยชน์จากโหมด CBC ใน TLS 1.0 ซึ่ง IV ของแต่ละระเบียนคือบล็อกไซเฟอร์เท็กซ์สุดท้ายของระเบียนก่อนหน้า ทำให้ IV สามารถคาดเดาได้ ผู้โจมตีแทรกบล็อกข้อความธรรมดาที่เลือกเองเพื่อกู้คืนคุกกี้เซสชันผ่านการโจมตีที่เลือกขอบเขตได้

วิธีแก้ไขคือใช้ TLS 1.1 ขึ้นไป ซึ่งใช้ IV แบบสุ่มต่อระเบียน หรือใช้ RC4 แทน CBC ซึ่งเป็นการแลกเปลี่ยนที่ไม่ดี วิธีแก้ไขสมัยใหม่คือ TLS 1.3 ใช้เฉพาะ AEAD และไม่มี CBC เบราว์เซอร์ลดผลกระทบจาก BEAST ด้วยการแบ่งระเบียนแบบ 1/n-1 ก่อนที่ TLS 1.1 จะใช้งานอย่างแพร่หลาย

ออราเคิลแพดดิ้งจากการเข้ารหัสแบบเก่าหลังการลดระดับ: โจมตีโหมด CBC ของ SSL 3.0 แพดดิ้งของ SSL 3.0 ไม่มีการป้องกันความถูกต้องครบถ้วน จึงเปิดให้ใช้ออราเคิลแพดดิ้งได้ ผู้โจมตีบังคับให้ลดระดับไปใช้ SSL 3.0 ผ่านความล้มเหลวของการเชื่อมต่อ จากนั้นถอดรหัสได้ 1 ไบต์ต่อคำขอประมาณ 256 ครั้ง

ปิดใช้งาน SSL 3.0 ทั้งหมด ส่วนขยาย TLS_FALLBACK_SCSV จะส่งสัญญาณว่าการลดระดับเป็นไปโดยตั้งใจ เพื่อป้องกันการลดระดับโดยผู้โจมตี POODLE ยังเกิดขึ้นได้กับการนำ TLS ไปใช้งานที่ละเลยโครงสร้างแพดดิ้งของ CBC อย่างไม่ถูกต้อง

การถอดรหัส RSA ด้วยการเข้ารหัส eNcryption ที่ล้าสมัยและอ่อนแอ: หากเซิร์ฟเวอร์ใช้คีย์ RSA ร่วมกับเซิร์ฟเวอร์ใดก็ตามที่ยอมรับ SSLv2 การโจมตีออราเคิลแพดดิ้งรูปแบบ Bleichenbacher ต่อ SSLv2 สามารถถอดรหัสเซสชัน TLS 1.2 ได้ เซิร์ฟเวอร์ HTTPS จำนวน 33% ได้รับผลกระทบ

ผู้โจมตีที่อยู่ระหว่างการสื่อสารสามารถทิ้งหรือทำให้แพ็กเก็ตเสียหาย เพื่อบังคับให้จุดปลายทางทั้งสองเจรจาใช้โพรโทคอลหรือชุดการเข้ารหัสที่อ่อนแอกว่า TLS_FALLBACK_SCSV (RFC 7507) ส่งสัญญาณเวอร์ชันโพรโทคอลสูงสุดที่ไคลเอ็นต์รองรับ จึงป้องกันการลดระดับโดยผู้โจมตี

ช่องทางข้างเคียงจากเวลาใน TLS โหมด CBC: เวลาตรวจสอบ MAC เปลี่ยนแปลงตามความยาวของแพดดิ้ง ผู้โจมตีวัดเวลาตอบกลับเพื่อแยกแพดดิ้งที่ถูกต้องออกจากแพดดิ้งที่ไม่ถูกต้อง ทำให้สร้างออราเคิลแพดดิ้งผ่านเครือข่ายได้ การโจมตีต้องสอบถามออราเคิลประมาณ 2^23 ครั้งต่อไบต์

RC4 สร้างไบต์ที่มีอคติ โดยไบต์ที่ 2 มีแนวโน้มเป็น 0 สำหรับเซสชัน TLS ที่ส่วนหัวปรากฏซ้ำในออฟเซ็ตคงที่ เช่น คุกกี้ สามารถกู้คืนข้อความธรรมดาทางสถิติได้จากตัวอย่างประมาณ 2^24 ชุด RC4 ถูกห้ามใช้ใน TLS ตั้งแต่ RFC 7465 (2015)

ไม่ใช่ข้อบกพร่องของโพรโทคอล TLS แต่เป็นข้อบกพร่องในการนำ OpenSSL ไปใช้งาน: ส่วนขยายสัญญาณชีพอ่านข้อมูลเกินบัฟเฟอร์ที่ต้องการได้ถึง 64 KB ทำให้คีย์ส่วนตัว โทเค็นเซสชัน และรหัสผ่านจากหน่วยความจำของเซิร์ฟเวอร์รั่วไหล เซิร์ฟเวอร์เว็บที่ปลอดภัย 17% มีช่องโหว่นี้

TLS 1.3 นำชุดการเข้ารหัส CBC, RC4, SSL 2.0/3.0, การแลกเปลี่ยนคีย์ RSA แบบคงที่ และการบีบอัดออกไป ECDHE ที่บังคับใช้ช่วยให้มีความลับส่งต่อ รายการชุดการเข้ารหัสที่มีขนาดเล็กลงช่วยกำจัดพื้นที่โจมตีสำหรับการโจมตีระดับโพรโทคอลที่รู้จักทั้งหมด

การโจมตีใดใช้ประโยชน์จาก IV ที่คาดเดาได้ในโหมด CBC ของ TLS 1.0

คุณได้ศึกษา BEAST, POODLE, DROWN, Lucky13 และการโจมตีจากอคติของ RC4 แล้ว TLS 1.3 กำจัดเงื่อนไขที่ทำให้การโจมตีเหล่านี้เกิดขึ้นได้ ขั้นต่อไป: โครงสร้าง การลงลายเซ็น และช่องโหว่ของ JWT