Una nueva técnica de piratería supera el problema de la "nerviosidad de la red", que puede afectar el éxito de los ataques de canal lateral
Una nueva técnica desarrollada por investigadores de la Universidad de Lovaina (Bélgica) y la Universidad de Nueva York en Abu Dhabi ha demostrado que los atacantes pueden utilizar funciones de protocolos de red para filtrar información confidencial.
Esta técnica llamada , demostrado en la conferencia Usenix de este año, utiliza la forma en que los protocolos de red manejan solicitudes simultáneas para abordar uno de los problemas de los ataques remotos de canal lateral basados en el tiempo.
Problemas con los ataques de tiempo remotos
En los ataques basados en el tiempo, los atacantes miden las diferencias en el tiempo de ejecución de diferentes comandos en un intento de eludir la protección de cifrado y obtener datos sobre información confidencial, como claves de cifrado, comunicaciones privadas y comportamiento de navegación del usuario.
Pero para implementar con éxito ataques basados en el tiempo, el atacante necesita un conocimiento preciso del tiempo que le toma a la aplicación atacada procesar la solicitud.
Esto se convierte en un problema cuando se atacan sistemas remotos como servidores web, porque la latencia de la red (jitter) provoca tiempos de respuesta variables, lo que dificulta el cálculo de los tiempos de procesamiento.
En los ataques de temporización remota, los atacantes suelen enviar cada comando varias veces y realizar análisis estadísticos de los tiempos de respuesta para reducir el impacto de la fluctuación de la red. Pero este método sólo es útil hasta cierto punto.
"Cuanto menor es la diferencia horaria, más consultas se requieren y, en cierto punto, el cálculo se vuelve imposible", nos dice Tom Van Goethem, investigador de seguridad de datos y autor principal de un artículo sobre el nuevo tipo de ataque.
Ataque de tiempo "eterno"
La técnica desarrollada por Goethem y sus colegas realiza ataques remotos de manera cronometrada que anula el impacto de la fluctuación de la red.
El principio detrás de un ataque de sincronización atemporal es simple: debe asegurarse de que las solicitudes lleguen al servidor exactamente al mismo tiempo, en lugar de transmitirse secuencialmente.
La concurrencia garantiza que todas las solicitudes se realicen en las mismas condiciones de red y que su procesamiento no se vea afectado por la ruta entre el atacante y el servidor. El orden en que se reciben las respuestas le dará al atacante toda la información necesaria para comparar los tiempos de ejecución.
“La principal ventaja de los ataques atemporales es que son mucho más precisos, por lo que se requieren menos consultas. Esto permite a un atacante reconocer diferencias en el tiempo de ejecución de hasta 100 ns”, afirma Van Goethem.
La diferencia de tiempo mínima que los investigadores observaron en un ataque de sincronización tradicional en Internet fue de 10 microsegundos, que es 100 veces mayor que en un ataque de solicitud simultánea.
¿Cómo se logra la simultaneidad?
"Aseguramos la simultaneidad colocando ambas solicitudes en un paquete de red", explica Van Goethem. "En la práctica, la implementación depende principalmente del protocolo de red".
Para enviar solicitudes simultáneas, los investigadores utilizan las capacidades de diferentes protocolos de red.
Por ejemplo, HTTP/2, que se está convirtiendo rápidamente en el estándar de facto para servidores web, admite la “multiplexación de solicitudes”, una característica que permite a un cliente enviar múltiples solicitudes en paralelo a través de una única conexión TCP.
"En el caso de HTTP/2, sólo necesitamos asegurarnos de que ambas solicitudes se coloquen en el mismo paquete (por ejemplo, escribiendo ambas en el socket al mismo tiempo)". Sin embargo, esta técnica tiene sus propias sutilezas. Por ejemplo, en la mayoría de las redes de entrega de contenido, como Cloudflare, que proporciona contenido para gran parte de la web, la conexión entre los servidores perimetrales y el sitio se realiza mediante el protocolo HTTP/1.1, que no admite la multiplexación de solicitudes.
Si bien esto reduce la efectividad de los ataques atemporales, siguen siendo más precisos que los ataques de sincronización remota clásicos porque eliminan la fluctuación entre el atacante y el servidor CDN perimetral.
Para los protocolos que no admiten la multiplexación de solicitudes, los atacantes pueden utilizar un protocolo de red intermedio que encapsule las solicitudes.
Los investigadores han demostrado cómo funciona un ataque de sincronización atemporal en la red Tor. En este caso, el atacante encapsula múltiples solicitudes en una celda Tor, un paquete cifrado transmitido entre nodos de la red Tor en paquetes TCP únicos.
"Debido a que la cadena Tor para los servicios cebolla llega hasta el servidor, podemos garantizar que las solicitudes lleguen al mismo tiempo", afirma Van Goethem.
Ataques eternos en la práctica
En su artículo, los investigadores estudiaron ataques eternos en tres situaciones diferentes.
en ataques de tiempo directo un atacante se conecta directamente al servidor e intenta filtrar información secreta relacionada con la aplicación.
"Debido a que la mayoría de las aplicaciones web no tienen en cuenta que los ataques sincronizados pueden ser muy prácticos y precisos, creemos que muchos sitios web son vulnerables a este tipo de ataques", afirma Van Goeten.
en ataques de sincronización entre sitios El atacante realiza solicitudes a otros sitios web desde el navegador de la víctima y adivina el contenido de la información confidencial observando la secuencia de respuestas.
Los atacantes utilizaron este esquema para explotar una vulnerabilidad en el programa de recompensas por errores de HackerOne y extrajeron información como palabras clave utilizadas en informes confidenciales de vulnerabilidades sin parches.
“Estaba buscando casos en los que se hubiera documentado previamente un ataque de sincronización pero no se considerara efectivo. El error de HackerOne ya se ha informado al menos tres veces (ID de error: , и ), pero no fue eliminado porque el ataque se consideró inutilizable. Entonces creé un proyecto de investigación interno simple con ataques de tiempo atemporales.
Todavía estaba muy poco optimizado en ese momento mientras continuamos trabajando en los detalles del ataque, pero aún así era bastante preciso (pude obtener resultados muy precisos en la conexión WiFi de mi casa)”.
Los investigadores también intentaron Ataques eternos al protocolo WiFi WPA3.
Uno de los coautores del artículo, Mati Vanhof, había descubierto previamente . Pero el tiempo era demasiado corto para usarlo en dispositivos de alta gama o no podía usarse en servidores.
"Utilizando un nuevo tipo de ataque atemporal, demostramos que, de hecho, es posible utilizar el protocolo de enlace de autenticación (EAP-pwd) contra servidores, incluso aquellos que ejecutan hardware potente", explica Van Goethem.
Momento perfecto
En su artículo, los investigadores brindaron recomendaciones para proteger los servidores de ataques eternos, como limitar la ejecución a un tiempo constante y agregar un retraso aleatorio. Se requiere más investigación para implementar defensas prácticas contra ataques de sincronización directa que tienen poco impacto en la operación de la red.
“Creemos que esta área de investigación se encuentra en etapas muy tempranas de desarrollo y requiere un estudio mucho más profundo”, afirma Van Goethem.
Investigaciones futuras podrían examinar otras técnicas que los atacantes podrían usar para realizar ataques simultáneos basados en el tiempo, otros protocolos y capas de red intermediarias que pueden ser atacadas, y evaluar la vulnerabilidad de sitios web populares que permiten dicha investigación según los términos del programa de búsqueda de errores. .
Se eligió el nombre "atemporal" "porque no utilizamos ninguna información de tiempo (absoluto) en estos ataques", explica Van Goethem.
"Además, pueden considerarse 'atemporales' porque los ataques de tiempo (remotos) se utilizan desde hace mucho tiempo y, a juzgar por nuestra investigación, la situación sólo empeorará".
El texto completo del informe de Usenix se encuentra .
Sobre los derechos de publicidad
con protección contra ataques DDoS y hardware de última generación. Todo esto es sobre nuestro servidores épicos. Configuración máxima: 128 núcleos de CPU, 512 GB de RAM, 4000 GB NVMe.
Fuente: habr.com