Уязвимост в cryptsetup, позволяваща деактивиране на шифроването в LUKS2 раздели

В пакета Cryptsetup, прилагано за шифриране на дискови разпределения в Linux, е открита уязвимост (CVE-2021-4122), позволяваща чрез модификация на метаданните да се постигне деактивиране на шифрирането в разпределенията във формат LUKS2 (Linux Unified Key Setup). За да се експлоатира уязвимостта, атакуващият трябва да има физически достъп до зашифрения носител, т.е. методът има смисъл основно за атаки на зашифрени външни носители, като Flash-дискове, до които злонамерен потребител има достъп, но не знае паролата за декриптиране на данните.

Атаката е приложима само за формата LUKS2 и е свързана с манипулация на метаданните, отговорни за активирането на разширението „online reencryption“, което позволява при необходимост да се смени ключът за достъп и да се иницира процес на прешифриране на данните в реално време, без да се прекъсва работата с разпределението. Тъй като процесът на декриптиране и шифриране с нов ключ отнема много време, „online reencryption“ дава възможност да не се прекъсва работата с разпределението и да се извършва прешифриране на фона на фона, постепенно прехвърляйки данните от един ключ на друг. Освен това има възможност за избор на празен целеви ключ, което позволява да се преобразува разпределението в декриптирана форма.

Атакуващият може да внесе в метаданните LUKS2 изменения, симулиращи аварийно прекъсване на изпълнението на операцията по декриптиране в резултат на срив и да постигне декриптиране на част от разпределението след активиране и използване на модифицирания носител от собственика. При това потребителят, свързал модифицирания носител и отключил го с правилната парола, не получава никакво предупреждение за извършването на процеса на възстановяване на прекъснатата операция по прешифриране и може да научи за хода на тази операция само с командата „luks Dump“. Обемът на данните, които атакуващият може да декриптира, зависи от размера на заглавката LUKS2, но при размер по подразбиране (16 MiB) може да надвишава 3 GB.

Проблемата произтича от факта, че, въпреки че повторното криптиране изисква изчисление и проверка на хешовете на новия и стария ключ, за започване на декриптиране хеш не е нужен, ако новото състояние предполага отсъствие на ключ за криптиране (plaintext). Освен това метаданните LUKS2, в които се задава алгоритмът за криптиране, не са защитени от модификация в случай че попаднат в ръцете на злонамерени лица. За да блокират уязвимостта, разработчиците добавиха допълнителна защита на метаданните в LUKS2, за които сега се проверява допълнителен хеш, изчислен на базата на известни ключове и съдържанието на метаданните, т.е. атакуващият вече не може незабелязано да промени метаданните, без да знае паролата за декриптиране.

Типичният сценарий на атака изисква злонамереният субект да има възможност многократно да получава устройството в свои ръце. Първоначално атакуващият, който не знае паролата за достъп, прави промени в областта на метаданните, които инициират декриптиране на част от данните при следващото активиране на устройството. След това устройството се връща на мястото си и атакуващият изчаква, докато потребителят не го свърже и въведе паролата. По време на активирането на устройството от потребителя се стартира фонов процес на повторно криптиране, в който част от криптираните данни се заменя с декриптирани данни. След това, ако атакуващият успее отново да получи устройството, част от данните на устройството ще бъдат в декриптиран вид.

Проблемата е идентифицирана от мейнтейнера на проекта cryptsetup и е отстранена в актуализациите cryptsetup 2.4.3 и 2.3.7. Състоянието на актуализациите за отстраняване на проблема в дистрибуциите може да се проследи на тези страници: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. Уязвимостта се проявява само от версия cryptsetup 2.2.0, в която беше добавена поддръжката на операция „online reencryption“. Като заобиколно решение за защита може да се използва стартиране с опцията „—disable-luks2-reencryption“.

Източник: opennet.ru