Terrapin – eine Schwachstelle im SSH-Protokoll, die den Schutz der Verbindung verringern kann.

Eine Forschergruppe der Ruhr-Universität Bochum (Deutschland) hat eine neue MITM-Angriffstechnik auf SSH vorgestellt – Terrapin, die eine Verwundbarkeit (CVE-2023-48795) im Protokoll ausnutzt. Der Angreifer, der in der Lage ist, einen MITM-Angriff durchzuführen, kann im Rahmen der Verbindungsvereinbarung die Übertragung einer Nachricht mit der Protokollerweiterungseinstellung blockieren, um das Sicherheitsniveau der Verbindung herabzusetzen. Ein Prototyp des Angriffsinstrumentariums wurde auf GitHub veröffentlicht.

Im Kontext von OpenSSH ermöglicht die Verwundbarkeit beispielsweise, die Verbindung auf weniger sichere Authentifizierungsalgorithmen zurückzusetzen und den Schutz gegen Angriffe über Seitenkanäle zu deaktivieren, die Eingaben durch die Analyse von Verzögerungen zwischen Tasteneingaben nachstellen. In der Python-Bibliothek AsyncSSH, in Kombination mit der Verwundbarkeit (CVE-2023-46446) in der Implementierung der internen Zustandsmaschine, ermöglicht der Terrapin-Angriff das Eindringen in eine SSH-Sitzung.

Die Schwachstelle betrifft alle SSH-Implementierungen, die ChaCha20-Poly1305 oder CBC-Chiffren in Kombination mit dem ETM-Modus (Encrypt-then-MAC) unterstützen. Solche Funktionen sind beispielsweise seit über 10 Jahren in OpenSSH verfügbar. Die Schwachstelle wurde im aktuellen Release von OpenSSH 9.6 sowie in den Updates von PuTTY 0.80, libssh 0.10.6/0.9.8 und AsyncSSH 2.14.2 behoben. In Dropbear SSH wurde der Fix bereits in den Code integriert, aber eine neue Version ist derzeit noch nicht verfügbar.

Die Schwachstelle entsteht dadurch, dass ein Angreifer, der den Verkehr einer Verbindung kontrolliert (zum Beispiel der Besitzer eines bösartigen Wi-Fi-Hotspots), die Sequenznummern der Pakete während des Verbindungsaufbaus anpassen kann, um unbemerkt eine beliebige Anzahl von SSH-Nachrichten zu entfernen, die vom Client gesendet werden. Server. Unter anderem kann der Angreifer SSH_MSG_EXT_INFO-Nachrichten löschen, die zur Konfiguration der verwendeten Protokollerweiterungen dienen. Um zu verhindern, dass die andere Partei das Fehlen eines Pakets aufgrund eines Fehlers in der Reihenfolge der Nummern erkennt, initiiert der Angreifer den Versand eines Dummy-Pakets mit der gleichen Sequenznummer wie das verlorene Paket. Das Dummy-Paket enthält eine Nachricht mit dem Flag SSH_MSG_IGNORE, die bei der Verarbeitung ignoriert wird.

Ein Angriff kann nicht durchgeführt werden, wenn Stream-Chiffren und CTR verwendet werden, da eine Integritätsverletzung auf Anwendungsebene erkannt wird. In der Praxis sind nur die ChaCha20-Poly1305-Verschlüsselung (chacha20-poly1305@openssh.com), bei der der Zustand nur anhand der Sequenznummern der Nachrichten verfolgt wird, und die Kombination des Encrypt-Then-MAC (*-etm@openssh.com)-Modus und CBC-Chiffren anfällig.

In OpenSSH 9.6 und anderen Implementierungen wurde das Protokollerweiterung 'strict KEX' eingeführt, um Angriffe zu blockieren, das automatisch aktiviert wird, wenn es auf der Gegenseite unterstützt wird. Server und des Clients. Die Erweiterung beendet die Verbindung, wenn während der Aushandlung der Verbindung nicht standardmäßige oder überflüssige Nachrichten (zum Beispiel mit dem Flag SSH_MSG_IGNORE oder SSH2_MSG_DEBUG) empfangen werden, sowie der MAC-Zähler (Message Authentication Code) nach jedem Schlüsselaustausch zurückgesetzt wird.

Quelle: opennet.ru