Ayrıntılı Dolgu Oracle Saldırıları

CBC (Cipher Block Chaining) modunda her bloğun şifresini çözmek için önce blok şifresiyle şifreli metin bloğunun şifresi çözülür, ardından sonuç önceki şifreli metin bloğuyla XOR işlemine tabi tutulur. Bu XOR işlemi kritik bir özellik ortaya çıkarır: saldırgan, şifreli metin bloğundaki bitleri değiştirerek sonraki bloğun şifresi çözülmüş düz metnindeki belirli bitleri öngörülebilir biçimde etkileyebilir. Bu özellik, dolgu kehaneti saldırısını mümkün kılar.

Blok şifreleri, girdinin sabit boyutlu bloklar halinde olmasını gerektirir. PKCS#7 dolgusu son bloğu doldurur: 3 bayt dolgu gerekiyorsa, her biri 0x03 değerinde üç bayt eklenir. Blok zaten tamamen doluysa, 0x10 değerindeki 16 baytın tümünden oluşan eksiksiz bir dolgu bloğu eklenir. Şifre çözme sırasında dolgu baytlarının tutarlı olduğu doğrulanır; N baytın tümü N değerine sahip olmalıdır. Ardından dolgu kaldırılır. Dolgu geçersizse şifre çözme başarısız olmalıdır.

Dolgu kehaneti, şifreli metnin şifresi çözüldüğünde PKCS#7 dolgusunun geçerli olup olmadığını açığa çıkaran herhangi bir sistemdir. Kehanet şu biçimlerde olabilir: açık bir hata mesajı (Geçersiz dolgu), farklı bir HTTP durum kodu (500'e karşı 403), farklı bir hata yanıt gövdesi veya bir zamanlama farkı bile olabilir (geçerli dolgulu şifre çözme işlemi biraz daha hızlıdır). Saldırganın anahtarı bilmesi gerekmez; yalnızca şu ikili sinyale ihtiyacı vardır: dolgu geçerli mi, değil mi.

Saldırgan belirli bir şifreli metin bloğunu hedefler. Düz metnin son baytını elde etmek için önceki şifreli metin bloğunun son baytını değiştirin ve değiştirilmiş şifreli metni kehanet mekanizmasına gönderin. Kehanet geçerli dolgu bildirene kadar 256 olası değer üzerinde yineleme yapın. Geçerli dolguyu (0x01) üreten değerde ara şifre çözme değeri bilinir; bu değer, değiştirilen baytla XOR işlemine tabi tutulduğunda 0x01 üretir. Ara değeri özgün şifreli metin baytıyla XOR'lamak düz metin baytını ortaya çıkarır.

Son bayt elde edildikten sonra sondan bir önceki bayt hedeflenir. Son baytın ara değeri zaten bilindiğinden, bu bayt 0x02 üretecek şekilde ayarlanabilir. Ardından sondan bir önceki bayt için 256 değer üzerinde yineleme yapılır ve 0x02 0x02 dolgusu geçerli olana kadar devam edilir. Bu işlem her bayt için tekrarlanır ve blok başına ortalama 256 * 16 = 4.096 kehanet sorgusuyla 16 baytlık eksiksiz bir blok elde edilir. Kehanet mekanizması hızlıysa işlem saniyeler içinde tamamlanabilir.

İşlem, IV dışındaki her şifreli metin bloğu için tekrarlanır; IV, önceki blok olmadan elde edilemez. 128 baytlık bir şifreli metnin (8 AES bloğu) tamamen şifresini çözmek için ortalama yaklaşık 32.000 kehanet sorgusu gerekir. Saniyede yüzlerce isteği işleyen bir web sunucusuna karşı bu işlem birkaç dakika sürer. Saldırgan, şifreleme anahtarını hiçbir zaman öğrenmeden düz metnin tamamını elde eder.

POODLE (Düşürülmüş Eski Şifrelemede Dolgu Kehaneti), SSL 3.0'ın CBC dolgu doğrulamasından yararlandı. SSL 3.0, PKCS#7 olmayan bir dolgu şeması kullanıyordu, ancak saldırı kehanet kavramına uyarlandı. Bir saldırgan SSL 3.0 oturumuna içerik ekleyebilir ve istemcileri SSL 3.0'a düşürmeye zorlayabilirse, dolgu kehaneti tekniğini kullanarak oturum çerezlerini elde edebilirdi. POODLE, SSL 3.0'ın kullanımdan kaldırılmasını zorunlu kıldı.

Lucky Thirteen (2013), TLS'nin CBC MAC-then-encrypt şemasındaki bir zamanlama yan kanalından yararlandı. MAC doğrulama süresi, dolgunun geçerli olup olmamasına bağlı olarak birkaç nanosaniye farklılık gösteriyordu ve bu da bir zamanlama kehaneti oluşturuyordu. BEAST (2011), oturum çerezlerine karşı seçilmiş düz metin saldırısı düzenlemek için TLS 1.0 CBC modundaki öngörülebilir IV'den yararlandı. Her iki saldırı da TLS'de CBC modunu doğru biçimde uygulamanın temelde zor olduğunu gösterdi.

Dolgu kehaneti saldırılarına karşı kesin savunma, CBC yerine AEAD (Associated Data ile Kimlik Doğrulamalı Şifreleme) modlarını kullanmaktır. AES-256-GCM ve ChaCha20-Poly1305 gibi AEAD modları, herhangi bir şifre çözme veya dolgu denetimi yapılmadan önce kimlik doğrulamayı doğrular. Kimlik doğrulama etiketi geçersizse şifre çözme hiç gerçekleşmez ve dolgu hakkında hiçbir bilgi sızmaz. TLS 1.3, AEAD kullanımını zorunlu kılar ve CBC'yi tamamen kaldırır.

AEAD kullanılamıyorsa, Önce Şifrele, Sonra MAC yapısı şifreli metin (düz metin değil) üzerinde bir MAC oluşturur. Şifre çözme veya dolgu denetiminden önce MAC doğrulanır. MAC doğrulaması başarısız olursa işlem, dolgu hakkında hiçbir bilgi açığa çıkarılmadan hemen durdurulur. Zamanlama kehanetlerini önlemek için bu işlem sabit zamanda gerçekleştirilmelidir. MAC doğrulamasının başarısız olması, dolgunun geçerli olup olacağı hakkında hiçbir bilgi vermez.

Dolgu kehaneti güvenlik açıklarını test etmek için bilinen bir mesajı şifreleyin, ardından değiştirilmiş şifreli metni uygulamaya gönderip yanıtı gözlemleyin. Geçerli ve geçersiz dolgular gözlemlenebilir biçimde farklı yanıtlar üretiyorsa (hata mesajı, durum kodu veya yanıt süresi), bir dolgu kehaneti vardır. PadBuster gibi otomatik araçlar, şifreli metinleri sistematik olarak değiştirip yanıtları analiz ederek web uygulamalarındaki dolgu kehanetlerini özellikle test eder.

Dolgu kehaneti saldırısının, şifreli metnin anahtar olmadan şifresini çözebilmesi için hedef sistemden ne gerekir?

Dolgu kehanetinin özeti: CBC şifre çözme işlemindeki XOR özelliği, düz metin baytlarının kontrollü biçimde değiştirilmesine olanak tanır; PKCS#7 dolgu doğrulaması ikili bir kehanet sinyali açığa çıkarır; saldırgan, düz metni bayt bayt elde etmek için bayt değerleri üzerinde yineleme yapar ve geçerli ya da geçersiz yanıtları gözlemler; gerçek saldırılar arasında POODLE, Lucky Thirteen ve BEAST bulunur; savunma, kimlik doğrulamayı şifre çözmeden önce doğrulayan AEAD'ye (GCM, ChaCha20-Poly1305) geçmektir.