Une vuln\u00e9rabilit\u00e9 (CVE-2021-4122) a \u00e9t\u00e9 identifi\u00e9e dans le package Cryptsetup, utilis\u00e9 pour le chiffrement des partitions de disque sous Linux, permettant, via la modification des m\u00e9tadonn\u00e9es, de d\u00e9sactiver le chiffrement dans les partitions au format LUKS2 (Linux Unified Key Setup). Pour exploiter cette vuln\u00e9rabilit\u00e9, l'attaquant doit avoir un acc\u00e8s physique au support chiffr\u00e9, c'est-\u00e0-dire que cette m\u00e9thode a principalement du sens pour une attaque contre des supports externes chiffr\u00e9s, tels que des cl\u00e9s USB, auxquels l'attaquant a acc\u00e8s mais ne conna\u00eet pas le mot de passe pour d\u00e9chiffrer les donn\u00e9es. <\/p>\n
L'attaque est applicable uniquement au format LUKS2 et est li\u00e9e \u00e0 la manipulation des m\u00e9tadonn\u00e9es responsables de l'activation de l'extension \u00ab online reencryption \u00bb, permettant en cas de changement de cl\u00e9 d'acc\u00e8s d'initier le processus de r\u00e9chiffrement des donn\u00e9es \u00e0 la vol\u00e9e sans interrompre l'utilisation de la partition. Comme le processus de d\u00e9chiffrement et de chiffrement avec une nouvelle cl\u00e9 prend beaucoup de temps, \u00ab online reencryption \u00bb permet de ne pas interrompre le travail sur la partition et de r\u00e9aliser le r\u00e9chiffrement en arri\u00e8re-plan, en r\u00e9chiffant progressivement les donn\u00e9es d'une cl\u00e9 \u00e0 l'autre. Il est \u00e9galement possible de choisir une cl\u00e9 cible vide, ce qui permet de passer la partition en mode d\u00e9chiffr\u00e9. <\/p>\n
L'attaquant peut apporter des modifications aux m\u00e9tadonn\u00e9es LUKS2 simulant une interruption accidentelle de l'op\u00e9ration de d\u00e9chiffrement \u00e0 la suite d'une panne et r\u00e9ussir \u00e0 d\u00e9chiffrer une partie de la partition apr\u00e8s l'activation et l'utilisation du p\u00e9riph\u00e9rique modifi\u00e9 par le propri\u00e9taire. Dans ce cas, l'utilisateur qui branche le p\u00e9riph\u00e9rique modifi\u00e9 et le d\u00e9bloque avec le bon mot de passe ne re\u00e7oit aucun avertissement concernant la r\u00e9alisation du processus de r\u00e9cup\u00e9ration de l'op\u00e9ration de r\u00e9chiffrement interrompue et ne peut conna\u00eetre l'\u00e9tat de cette op\u00e9ration qu'en utilisant la commande \u00ab luks Dump \u00bb. Le volume des donn\u00e9es que l'attaquant peut d\u00e9chiffrer d\u00e9pend de la taille de l'en-t\u00eate LUKS2, mais \u00e0 la taille par d\u00e9faut (16 MiB), cela peut d\u00e9passer 3 Go. <\/p>\n
Le probl\u00e8me est caus\u00e9 par le fait que, bien que le r\u00e9-encryptage n\u00e9cessite le calcul et la v\u00e9rification des hachages des nouvelles et anciennes cl\u00e9s, la d\u00e9cryptage peut commencer sans hachage si le nouvel \u00e9tat implique l'absence de cl\u00e9 pour le chiffrement (texte en clair). De plus, les m\u00e9tadonn\u00e9es LUKS2, qui sp\u00e9cifient l'algorithme de chiffrement, ne sont pas prot\u00e9g\u00e9es contre la modification si elles tombent entre de mauvaises mains. Pour bloquer cette vuln\u00e9rabilit\u00e9, les d\u00e9veloppeurs ont ajout\u00e9 une protection suppl\u00e9mentaire pour les m\u00e9tadonn\u00e9es dans LUKS2, o\u00f9 un hachage suppl\u00e9mentaire est maintenant v\u00e9rifi\u00e9, calcul\u00e9 en fonction des cl\u00e9s connues et du contenu des m\u00e9tadonn\u00e9es, c'est-\u00e0-dire qu'un attaquant ne peut plus modifier silencieusement les m\u00e9tadonn\u00e9es sans conna\u00eetre le mot de passe pour le d\u00e9cryptage. <\/p>\n
Un sc\u00e9nario typique d'attaque exige que l'attaquant ait la possibilit\u00e9 d'obtenir le stockage entre ses mains plusieurs fois. Dans un premier temps, l'attaquant, qui ne conna\u00eet pas le mot de passe d'acc\u00e8s, effectue des modifications dans la zone des m\u00e9tadonn\u00e9es qui d\u00e9clenchent le d\u00e9cryptage d'une partie des donn\u00e9es lors de la prochaine activation du stockage. Ensuite, le stockage est remis \u00e0 sa place et l'attaquant attend que l'utilisateur le connecte en saisissant le mot de passe. Pendant l'activation de l'appareil par l'utilisateur, un processus en arri\u00e8re-plan de r\u00e9-encryptage se lance, au cours duquel une partie des donn\u00e9es chiffr\u00e9es est remplac\u00e9e par des donn\u00e9es d\u00e9crypt\u00e9es. Ensuite, si l'attaquant peut obtenir \u00e0 nouveau l'appareil, une partie des donn\u00e9es sur le stockage sera en clair. <\/p>\n