California University researchers in San Diego have demonstrated the possibility of reconstructing closed host RSA keys of an SSH server using passive analysis of SSH traffic. An attack can be executed on servers where, due to circumstances or the attacker's actions, failures occur during the computation of the digital signature while establishing an SSH connection. Failures can be either software-related (incorrect execution of mathematical operations, memory damage) or hardware-related (errors in NVRAM and DRAM operation or failures during power interruptions).
One option for inducing failures could be RowHammer-class attacks, among others, allowing for the remote or browser JavaScript code processing distortion of individual bits of memory through intensive cyclic reading of data from adjacent memory cells. Another potential trigger for failures could be the exploitation of vulnerabilities leading to buffer overflows and damage to key data in memory.
The published research shows that when using digital signatures based on the RSA algorithm in SSH, attacks to reconstruct RSA private keys using the Lattice method (Fault Attack) are applicable to the parameters of the digital signature in case of software or hardware failures during the signing process. The essence of the method is that by comparing correct and faulty RSA digital signatures, one can determine the greatest common divisor to derive one of the prime numbers used in key formation.
RSA encryption is based on the operation of exponentiation modulo a large number. The public key contains a modulus and an exponent. The modulus is formed from two random prime numbers, which are known only to the owner of the private key. An attack can be applied to RSA implementations that use the Chinese remainder theorem and deterministic padding schemes such as PKCS#1 v1.5.
Ründamiseks piisab passiivsest jälgimisest seaduslikest ühendustest SSH-serveriga, kuni avastatakse liikluses rikutud digitaalne allkiri, mida saab kasutada teabeallikana RSA-erakihi taastamiseks. Pärast hosti RSA-erakihi taastamist saab ründaja MITM-rünnaku käigus märkamatult suunata päringud vale hosti poole, mis kujutab endast kompromiteeritud SSH-serverit, ja korraldada edastatavate andmete pealtkuulamist. server andmeid.
Kogutud pealtkuulatud võrgudaatade, mis sisaldavad ligikaudu 5,2 miljardit salvestust SSH-protokolli kasutamise kohta, uurimisel tuvastasid teadlased umbes 3,2 miljardit avatud hosti võtit ja digitaalset allkirja, mida kasutati SSH-seansi läbirääkimiste ajal. Nendest 1,2 miljardit (39,1%) loodi RSA-algoritmi abil. 593671 juhul (0,048%) oli RSA-allkiri rikutud ja ei läbinud kontrolli. 4962 rikutud allkirja korral õnnestus rakendada Lattice faktoriseerimise meetod, et määrata privaatvõti teadaoleva avaliku võtme kaudu, mis võimaldas lõpuks taastada 189 unikaalset RSA-võtme paari (paljudel juhtudel kasutati erinevate rikutud allkirjade genereerimiseks samu võtmeid ja rikutud seadmeid). Võtmete taastamiseks kulus umbes 26 tundi protsessoriaega.
Probleem puudutab ainult spetsiifilisi SSH-protokolli rakendusi, mida peamiselt kasutatakse sisseehitatud seadmetes. Probleemsete SSH-implementatsioonide näidetena on mainitud Zyxel, Cisco, Mocana ja Hillstone Networks tooteid. OpenSSH ei ole probleemile vastuvõtlik, kuna kasutab võtmete genereerimiseks OpenSSL (või LibreSSL) raamatukogu, kus rikkumiste analüüsirünnakute (Fault Attack) kaitse on olemas alates 2001. aastast. Lisaks on OpenSSH digitaalallkirjade skeem ssh-rsa (sha1 põhjal) alates 2020. aastast kuulutatud aegunuks ja see on välja lülitatud versioonis 8.8 (skeemide rsa-sha2-256 ja rsa-sha2-512 tugi jääb alles). Potentsiaalselt võib rünnak olla rakendatav ka IPsec-protokollile, kuid teadlastel ei olnud piisavalt eksperimentaalseid andmeid, et kinnitada sellist rünnakut praktikas.
Allikas: opennet.ru
