TLS vulnerabiilsus, mis võimaldab määrata võtme DH-protokollide põhjal

Ava teave uue haavatavuse (CVE-2020-1968) TLS-protokollis, mille koodnimi on
Raccoon ja mis võimaldab väga harvaesinevate asjaolude korral määrata eelmise peamise võtme (pre-master), mida saab kasutada TLS-ühenduste, sealhulgas HTTPS-i, dekrüpteerimiseks, kui vahepealset liiklust (MITM) tabatakse. Tuuakse esile, et rünnak on praktilise teostamise osas väga keeruline ja on pigem teoreetilise iseloomuga. Rünnaku teostamiseks on vajalik TLS-serveri spetsiifiline konfiguratsioon ja võime väga täpselt mõõta serveri operatsioonide töötlemise aega.

Probleem esineb otse TLS-spetsifikatsioonis ja puudutab ainult ühendusi, mis kasutavad DH-põhiseid võtmevahetusprotokolle (Diffie-Hellman, TLS_DH_*). ECDH-protokollide puhul probleem ei avaldu ja need jäävad turvaliseks. Haavatavad on ainult TLS-protokollid kuni versioonini 1.2 (sealhulgas), TLS 1.3 ei ole sellele probleemile vastuvõtlik. Haavatavus ilmneb TLS-implementatsioonides, mis kasutavad DH-sekreetvõtme korduvat taaskasutamist erinevates TLS-ühendustes (seda käitumist täheldatakse ligikaudu 4.4% Alexa Top 1M serveritest).

OpenSSL 1.0.2e ja varasemates väljaannetes taaskasutatakse DH-peavõtit kõikides serveri ühendustes, kui SSL_OP_SINGLE_DH_USE valikut selgesõnaliselt ei valita. Alates OpenSSL 1.0.2f taaskasutatakse DH-peavõtit ainult staatiliste DH-šifrite („DH-*”, näiteks „DH-RSA-AES256-SHA”) korral. OpenSSL 1.1.1 ei avalda haavatavust, kuna selles harus ei kasutata DH-peavõtit ning ei rakendata staatilisi DH-šifreid.

DH-võtmevahetuse meetodi kasutamisel genereerivad ühenduse mõlemad pooled juhuslikud privaatvõtmed (edasi „võti a” ja „võti b”), mille alusel arvutatakse ja saadetakse avatud võtmed (ga mod p ja gb mod p). Pärast avatud võtmete saamist arvutab iga pool ühise peavõtme (gab mod p), mida kasutatakse seansivõtmete genereerimiseks. Raccooni rünnak võimaldab peavõtit määrata kolmandate kanalite teabe analüüsi kaudu, tuginedes sellele, et TLS-spesifikatsioonides kuni versioonini 1.2 on ette nähtud, et kõik peavõtme algsed nullbittid jäetakse välja selle osalusel toimuvaid arvutusi tehes.

Seal, sealitud esialgne võti edastatakse seansi võtme genereerimise funktsiooni, mis põhineb erineva viivituse ajal erinevate andmete töötlemisel. Serveri operatsioonide aja täpsete mõõtmiste abil suudab ründaja leida vihjeid (oracle), mis annavad võimaluse hinnata, kas esialgne võti algab nullist või mitte. Näiteks võib ründaja röövida kliendi edastatud avaliku võtme (ga), saata selle serverisse tagasi ja kindlaks teha
kas tulemuseks olev esialgne võti algab nullist.

Isegi ühe byte'i võtmine ei anna midagi, kuid kui ründaja on röövinud kliendi kokkuleppe loomise ajal edastatud väärtuse "ga", saab ta luua hulga muid väärtusi, mis on seotud "ga", ja saata need serverisse eraldi kokkuleppe seanssides. Loomise ja saatmise ajal väärtused "gri*ga", suudab ründaja serveri vastuse viivituste analüüsi kaudu määrata väärtused, mis viivad esialgsete võtmete saamiseni, mis algavad nullist. Tuues välja sellised väärtused, võib ründaja koostada hulga võrrandeid otsuse peidetud arvude probleemile ja arvutada algse esialgse võtme.

OpenSSL on haavatavuste on omistatud madal ohtlikkuse tase ja parandamine seisnes probleemsete "TLS_DH_*" krüptoalgoritmide liigutamises väljalaskes 1.0.2w vaikimisi keelatud krüptoalgoritmide kategooriasse, millel on ebapiisav turvetase ("weak-ssl-ciphers"). Sarnase lähenemise võtsid omaks ka Mozilla arendajad, kes deaktiveerisid NSS-kogus, mida kasutatakse Firefoxis, DH ja DHE krüptoalgoritmide hulgad. Alates Firefox 78 on probleemsed šifrid keelatud. Chrome'is lõpetati DH toetus juba 2016. aastal. BearSSL, BoringSSL, Botan, Mbed TLS ja s2n ei ole selle probleemi suhtes haavatavad, kuna nad ei toeta DH algoritme ega nende staatilisi variante.

Erilised täiendavad probleemid on välja toodud (CVE-2020-5929) F5 BIG-IP seadmete TLSi virnas, mis muudab rünnaku realistlikumaks. Eelkõige on tuvastatud kõrvalekalded seadmete käitumises, kui esialgse võtme alguses on nullbyte, mida saab kasutada täpsete ajaviivituste mõõtmise asemel.

Allikas: opennet.ru