Възстановяване на RSA ключове чрез анализ на SSH връзки към неработещи сървъри

Група изследователи от Калифорнийския университет в Сан Диего демонстрираха възможността за рекреиране на затворени хостърни RSA ключове на SSH сървър, чрез пасивен анализ на SSH трафика. Атаката може да бъде извършена на сървъри, където случайно или поради действия на атакуващия възникват сривове при изчисляването на цифровия подпис при установяването на SSH връзка. Сривовете могат да бъдат както програмни (некоректно изпълнение на математически операции, повреждане на паметта), така и хардуерни (грешки при работа с NVRAM и DRAM или сривове по време на прекъсване на електрическото захранване).

Един от вариантите за предизвикване на сривове могат да бъдат атаки от клас RowHammer, сред които позволяващи дистанционно или при обработка на JavaScript код в браузъра да се постигне изкривяване на съдържанието на отделни битове памет при интензивно циклично четене на данни от съседни клетките на паметта. Друг вариант за предизвикване на сривове може да бъде експлоатацията на уязвимости, водещи до препълване на буфер и повреждане на данни с ключове в паметта.

В публикуваното изследване е показано, че при използване на цифрови подписи в SSH, основани на RSA алгоритъм, параметрите на цифровите подписи са подложени на атаки за рекреиране на затворени RSA ключове чрез метод Lattice (Fault Attack), в случай на програмни или хардуерни сривове по време на процеса на изчисление на подписа. Същността на метода е, че сравнявайки коректни и повредени цифрови подписи RSA може да се определи най-голямото общо делимо за извеждане на едно от простите числа, използвани при формированието на ключа.

В основата на RSA шифрирането стои операцията на повдигане на степен по модул голямо число. В открития ключ се съдържа модул и степен. Модулът се формирe на базата на две случайни прости числа, които са известни само на притежателя на затворения ключ. Атаката може да бъде приложена към реализации на RSA, използващи Китайската теорема за остатъци и детерминирани схеми за добавъчно запълване, като PKCS#1 v1.5.

За да извърши атака, е достатъчно пасивно проследяване на легитимни връзки към SSH сървъра, докато се идентифицира повреден цифров подпис в трафика, който може да се използва като източник на информация за възстановяване на частния RSA ключ. След възстановяването на хостовия RSA ключ, нападателят може по време на атака тип MITM неусетно да пренасочи заявките към подложен хост, който се представя за компрометиран SSH сървър и да организира прихващане на предавани данни. сървър данни.

В резултат на изследване на колекция от прихванати мрежови данни, включваща около 5.2 милиарда записа, свързани с използването на протокола SSH, изследователите откриха около 3.2 милиарда отворени хостови ключа и цифрови подписи, използвани по време на договарянето на сесията SSH. От тях 1.2 милиарда (39.1%) са били генерирани с алгоритъма RSA. В 593671 случая (0.048%) RSA подписът е бил повреден и не е преминал проверка. За 4962 повредени подписа е успяло да се приложи методът на факторизация Lattice за идентифициране на частния ключ по известния отворен ключ, което в крайна сметка е позволило възстановяването на 189 уникални двойки RSA ключове (в много случаи за генериране на различни повредени подписи са използвани одни и същи ключове и дефектни устройства). За възстановяване на ключовете са били необходими около 26 часа процесорно време.

Проблемът засяга само специфични реализации на протокола SSH, използвани основно на вградени устройства. Като примери за устройства с проблемни реализации на SSH се споменават продукти на Zyxel, Cisco, Mocana и Hillstone Networks. OpenSSH не е податлив на проблема, тъй като използва библиотеката OpenSSL (или LibreSSL) за генериране на ключове, в която защитата срещу атаки, основани на анализ на повреди (Fault Attack), е налична от 2001 година. Освен това, в OpenSSH схемата за цифрови подписи ssh-rsa (на базата на sha1) е обявена за остаряла от 2020 година и е деактивирана в версия 8.8 (поддръжката на схемите rsa-sha2-256 и rsa-sha2-512 остава). Потенциално атаката може да бъде приложима и за протокола IPsec, но изследователите не разполагали с достатъчно експериментални данни за потвърждаване на подобна атака на практика.

Източник: opennet.ru