जब आप "क्रिप्टोग्राफी" शब्द सुनते हैं, तो कुछ लोगों को अपना वाईफाई पासवर्ड, उनकी पसंदीदा वेबसाइट के पते के आगे हरा पैडलॉक और किसी और के ईमेल तक पहुंचना कितना मुश्किल होता है, याद आता है। अन्य लोग हाल के वर्षों में कमजोरियों की एक शृंखला को याद करते हैं जिसमें संक्षिप्ताक्षर (DROWN, FREAK, POODLE...), स्टाइलिश लोगो और अपने ब्राउज़र को तत्काल अपडेट करने की चेतावनी दी गई है।

क्रिप्टोग्राफी यह सब कवर करती है, लेकिन सार दूसरे में। मुद्दा यह है कि सरल और जटिल के बीच एक महीन रेखा होती है। कुछ चीज़ें करना आसान है, लेकिन उन्हें वापस जोड़ना कठिन है, जैसे अंडा तोड़ना। अन्य चीजें करना आसान है लेकिन जब कोई छोटा, महत्वपूर्ण, महत्वपूर्ण हिस्सा गुम हो जाए तो उसे वापस पाना कठिन होता है: उदाहरण के लिए, एक बंद दरवाजा खोलना जब "महत्वपूर्ण हिस्सा" चाबी हो। क्रिप्टोग्राफी इन स्थितियों का अध्ययन करती है और व्यवहार में उनका उपयोग कैसे किया जा सकता है।

हाल के वर्षों में, क्रिप्टोग्राफ़िक हमलों का संग्रह आकर्षक लोगो के चिड़ियाघर में बदल गया है, जो वैज्ञानिक पत्रों के सूत्रों से भरा हुआ है, और एक सामान्य उदास भावना को जन्म देता है कि सब कुछ टूट गया है। लेकिन वास्तव में, कई हमले कुछ सामान्य सिद्धांतों पर आधारित होते हैं, और सूत्रों के अंतहीन पन्नों को अक्सर समझने में आसान विचारों में बदल दिया जाता है।

लेखों की इस श्रृंखला में, हम बुनियादी सिद्धांतों पर जोर देने के साथ विभिन्न प्रकार के क्रिप्टोग्राफ़िक हमलों को देखेंगे। सामान्य शब्दों में और बिल्कुल इसी क्रम में नहीं, लेकिन हम निम्नलिखित को कवर करेंगे:

• बुनियादी रणनीतियाँ: पाशविक बल, आवृत्ति विश्लेषण, प्रक्षेप, डाउनग्रेडिंग और क्रॉस-प्रोटोकॉल।
• ब्रांडेड कमजोरियाँ: सनकी, अपराध, पूडल, डूबना, गतिरोध।
• उन्नत रणनीतियाँ: ओरेकल हमले (वोडेनेट हमला, केल्सी हमला); बीच-बीच में मिलने की विधि, जन्मदिन का हमला, सांख्यिकीय पूर्वाग्रह (विभेदक क्रिप्टोएनालिसिस, इंटीग्रल क्रिप्टोएनालिसिस, आदि)।
• साइड चैनल पर हमला और उनके करीबी रिश्तेदार, विफलता विश्लेषण तकनीक।
• सार्वजनिक कुंजी क्रिप्टोग्राफी पर हमले: क्यूब रूट, प्रसारण, संबंधित संदेश, कॉपरस्मिथ हमला, पोहलिग-हेलमैन एल्गोरिदम, संख्या छलनी, वीनर हमला, ब्लीचेनबैकर हमला।

यह विशेष लेख केल्सी के हमले तक उपरोक्त सामग्री को शामिल करता है।

बुनियादी रणनीतियाँ

निम्नलिखित हमले इस अर्थ में सरल हैं कि उन्हें अधिक तकनीकी विवरण के बिना लगभग पूरी तरह से समझाया जा सकता है। आइए जटिल उदाहरणों या उन्नत उपयोग के मामलों में जाए बिना, प्रत्येक प्रकार के हमले को सबसे सरल शब्दों में समझाएं।

इनमें से कुछ हमले काफी हद तक अप्रचलित हो गए हैं और कई वर्षों से उनका उपयोग नहीं किया गया है। अन्य पुराने समय के लोग हैं जो 21वीं सदी में अभी भी नियमित रूप से बिना सोचे-समझे क्रिप्टोसिस्टम डेवलपर्स पर नज़र रखते हैं। आधुनिक क्रिप्टोग्राफी के युग की शुरुआत IBM DES के आगमन से मानी जा सकती है, जो इस सूची में हर हमले का सामना करने वाला पहला सिफर है।

सरल पाशविक बल

एन्क्रिप्शन योजना में दो भाग होते हैं: 1) एक एन्क्रिप्शन फ़ंक्शन जो एक संदेश (प्लेनटेक्स्ट) को एक कुंजी के साथ जोड़ता है और फिर एक एन्क्रिप्टेड संदेश उत्पन्न करता है - सिफरटेक्स्ट; 2) एक डिक्रिप्शन फ़ंक्शन जो सिफरटेक्स्ट और कुंजी लेता है और प्लेनटेक्स्ट उत्पन्न करता है। एन्क्रिप्शन और डिक्रिप्शन दोनों को कुंजी के साथ गणना करना आसान होना चाहिए - और इसके बिना पता लगाना मुश्किल है।

आइए मान लें कि हम सिफरटेक्स्ट देखते हैं और बिना किसी अतिरिक्त जानकारी के इसे डिक्रिप्ट करने का प्रयास करते हैं (इसे केवल सिफरटेक्स्ट हमला कहा जाता है)। यदि हमें किसी तरह जादुई तरीके से सही कुंजी मिल जाती है, तो हम आसानी से सत्यापित कर सकते हैं कि यह वास्तव में सही है यदि परिणाम एक उचित संदेश है।

ध्यान दें कि यहां दो अंतर्निहित धारणाएं हैं। सबसे पहले, हम जानते हैं कि डिक्रिप्शन कैसे किया जाता है, यानी क्रिप्टोसिस्टम कैसे काम करता है। क्रिप्टोग्राफी पर चर्चा करते समय यह एक मानक धारणा है। हमलावरों से सिफर के कार्यान्वयन विवरण को छिपाना एक अतिरिक्त सुरक्षा उपाय की तरह लग सकता है, लेकिन एक बार जब हमलावर इन विवरणों का पता लगा लेता है, तो यह अतिरिक्त सुरक्षा चुपचाप और अपरिवर्तनीय रूप से खो जाती है। कि कैसे केरचॉफ सिद्धांत: दुश्मन के हाथ में सिस्टम पड़ने से असुविधा नहीं होनी चाहिए।

दूसरा, हम मानते हैं कि सही कुंजी ही एकमात्र कुंजी है जो उचित डिक्रिप्शन की ओर ले जाएगी। यह भी एक उचित धारणा है; यदि सिफरटेक्स्ट कुंजी से अधिक लंबा है और पढ़ने योग्य है तो यह संतुष्ट है। सिवाय इसके कि वास्तविक दुनिया में आमतौर पर ऐसा ही होता है विशाल अव्यवहारिक कुंजियाँ या अन्य षडयंत्र जिन्हें छोड़ देना ही बेहतर है (यदि आपको हमारे द्वारा स्पष्टीकरणों को खारिज करना पसंद नहीं है, तो कृपया प्रमेय 3.8 देखें यहां).

उपरोक्त को देखते हुए, एक रणनीति उभरती है: हर संभव कुंजी की जाँच करें। इसे क्रूर बल कहा जाता है, और इस तरह के हमले की गारंटी अंततः सभी व्यावहारिक सिफर के खिलाफ काम करने की होती है। उदाहरण के लिए, हैक करने के लिए पाशविक बल ही पर्याप्त है सीज़र सिफर, एक प्राचीन सिफर जहां कुंजी वर्णमाला का एक अक्षर है, जो 20 से अधिक संभावित कुंजियों को दर्शाता है।

दुर्भाग्य से क्रिप्टो विश्लेषकों के लिए, कुंजी का आकार बढ़ाना पाशविक बल के विरुद्ध एक अच्छा बचाव है। जैसे-जैसे कुंजी का आकार बढ़ता है, संभावित कुंजियों की संख्या तेजी से बढ़ती है। आधुनिक कुंजी आकारों के साथ, सरल क्रूर बल पूरी तरह से अव्यावहारिक है। यह समझने के लिए कि हमारा क्या मतलब है, आइए 2019 के मध्य तक ज्ञात सबसे तेज़ सुपरकंप्यूटर को लें: शिखर सम्मेलन आईबीएम से, प्रति सेकंड लगभग 1017 ऑपरेशन के चरम प्रदर्शन के साथ। आज, सामान्य कुंजी लंबाई 128 बिट्स है, जिसका अर्थ है 2128 संभावित संयोजन। सभी कुंजियों को खोजने के लिए समिट सुपरकंप्यूटर को ब्रह्मांड की आयु से लगभग 7800 गुना अधिक समय की आवश्यकता होगी।

क्या पाशविक बल को एक ऐतिहासिक जिज्ञासा माना जाना चाहिए? बिल्कुल नहीं: यह क्रिप्टोएनालिसिस कुकबुक में एक आवश्यक घटक है। शायद ही कभी सिफर इतने कमजोर होते हैं कि उन्हें एक डिग्री या किसी अन्य बल के उपयोग के बिना, केवल एक चतुर हमले से ही तोड़ा जा सकता है। कई सफल हैक पहले लक्ष्य सिफर को कमजोर करने के लिए एल्गोरिथम पद्धति का उपयोग करते हैं, और फिर एक क्रूर बल हमला करते हैं।

आवृत्ति विश्लेषण

अधिकांश पाठ अस्पष्ट नहीं हैं। उदाहरण के लिए, अंग्रेजी ग्रंथों में कई अक्षर 'ई' और लेख 'द' हैं; बाइनरी फ़ाइलों में जानकारी के टुकड़ों के बीच पैडिंग के रूप में बहुत सारे शून्य बाइट्स होते हैं। फ़्रिक्वेंसी विश्लेषण कोई भी हमला है जो इस तथ्य का लाभ उठाता है।

इस हमले के प्रति संवेदनशील सिफर का विहित उदाहरण सरल प्रतिस्थापन सिफर है। इस सिफर में, कुंजी एक तालिका है जिसमें सभी अक्षर प्रतिस्थापित हैं। उदाहरण के लिए, 'g' को 'h' से बदल दिया जाता है, 'o' को j से बदल दिया जाता है, इसलिए 'go' शब्द 'hj' बन जाता है। इस सिफर को बलपूर्वक समझना कठिन है क्योंकि इसमें बहुत सारी संभावित लुकअप टेबल हैं। यदि आप गणित में रुचि रखते हैं, तो प्रभावी कुंजी लंबाई लगभग 88 बिट है: यानी
. लेकिन आवृत्ति विश्लेषण से आमतौर पर काम जल्दी पूरा हो जाता है।

एक साधारण प्रतिस्थापन सिफर के साथ संसाधित निम्नलिखित सिफरटेक्स्ट पर विचार करें:

XDYLY ALY UGLY XDWNKE WN DYAJYN ANF YALXD DGLAXWG XDAN ALY FLYAUX GR WN OGQL ZDWBGEGZDO

के बाद से Y अक्सर होता है, कई शब्दों के अंत में, हम अस्थायी रूप से मान सकते हैं कि यह अक्षर है e:

XDeLe Ale UGLe XDWNKE WN DeAJeN ANF eALXD DGLAXWG XDAN ALE FLeAUX GR WN OGQL ZDWBGEGZDO

युगल XD कई शब्दों की शुरुआत में दोहराया गया। विशेष रूप से, XDeLe संयोजन स्पष्ट रूप से शब्द का सुझाव देता है these या there, तो चलिए जारी रखें:

थेले एले उगले थ्वनके डब्लूएन हेजेन एएनएफ हेल्थ डीजीएलएटीडब्ल्यूजी थान एले फ्लीट जीआर डब्लूएन ओजीक्यूएल जेडडब्ल्यूबीजीईजीजेडओ

चलिए आगे यह मान लेते हैं L से मेल खाती है r, A - a और इसी तरह। इसमें शायद कुछ प्रयास लगेंगे, लेकिन पूर्ण क्रूर हमले की तुलना में, यह हमला कुछ ही समय में मूल पाठ को पुनर्स्थापित कर देता है:

स्वर्ग और पृथ्वी की स्थिति में आपके दर्शन में सपने से कहीं अधिक चीज़ें हैं

कुछ लोगों के लिए, ऐसे "क्रिप्टोग्राम" को हल करना एक रोमांचक शौक है।

आवृत्ति विश्लेषण का विचार पहली नज़र में लगने से कहीं अधिक मौलिक है। और यह बहुत अधिक जटिल सिफर पर लागू होता है। पूरे इतिहास में, विभिन्न सिफर डिज़ाइनों ने "पॉलीअल्फैबेटिक प्रतिस्थापन" का उपयोग करके इस तरह के हमले का मुकाबला करने का प्रयास किया है। यहां, एन्क्रिप्शन प्रक्रिया के दौरान, अक्षर प्रतिस्थापन तालिका को जटिल लेकिन पूर्वानुमानित तरीकों से संशोधित किया जाता है जो कुंजी पर निर्भर करता है। इन सभी सिफरों को एक समय में तोड़ना कठिन माना जाता था; और फिर भी मामूली आवृत्ति विश्लेषण ने अंततः उन सभी को हरा दिया।

इतिहास में सबसे महत्वाकांक्षी बहुअक्षरीय सिफर, और संभवतः सबसे प्रसिद्ध, द्वितीय विश्व युद्ध का एनिग्मा सिफर था। यह अपने पूर्ववर्तियों की तुलना में अपेक्षाकृत जटिल था, लेकिन बहुत कड़ी मेहनत के बाद, ब्रिटिश क्रिप्टो विश्लेषकों ने आवृत्ति विश्लेषण का उपयोग करके इसे सुलझा लिया। निःसंदेह, वे ऊपर दिखाए गए हमले की तरह एक शानदार हमला विकसित नहीं कर सके; उन्हें प्लेनटेक्स्ट और सिफरटेक्स्ट (तथाकथित "प्लेनटेक्स्ट अटैक") की ज्ञात जोड़ियों की तुलना करनी थी, यहां तक ​​कि एनिग्मा उपयोगकर्ताओं को कुछ संदेशों को एन्क्रिप्ट करने और परिणाम का विश्लेषण करने के लिए उकसाना था ("चयनित प्लेनटेक्स्ट अटैक")। लेकिन इससे पराजित शत्रु सेनाओं और डूबी हुई पनडुब्बियों का भाग्य आसान नहीं हुआ।

इस विजय के बाद, क्रिप्टोएनालिसिस के इतिहास से आवृत्ति विश्लेषण गायब हो गया। आधुनिक डिजिटल युग में सिफर को अक्षरों के साथ नहीं, बल्कि बिट्स के साथ काम करने के लिए डिज़ाइन किया गया है। इससे भी महत्वपूर्ण बात यह है कि इन सिफरों को उस चीज़ की गहरी समझ के साथ डिज़ाइन किया गया था जिसे बाद में जाना जाने लगा श्नीयर का नियम: कोई भी एक एन्क्रिप्शन एल्गोरिदम बना सकता है जिसे वे स्वयं नहीं तोड़ सकते। यह एन्क्रिप्शन सिस्टम के लिए पर्याप्त नहीं है लग रहा था कठिन: अपनी उपयोगिता साबित करने के लिए, इसे कई क्रिप्टो विश्लेषकों द्वारा निर्दयी सुरक्षा समीक्षा से गुजरना होगा जो सिफर को क्रैक करने की पूरी कोशिश करेंगे।

प्रारंभिक गणना

आइए प्रीकॉम हाइट्स का एक काल्पनिक शहर लें, जिसकी जनसंख्या 200 है। शहर के प्रत्येक घर में औसतन $000 मूल्य का कीमती सामान है, लेकिन $30 से अधिक मूल्य का कीमती सामान नहीं है। प्रीकॉम में सुरक्षा बाजार पर एसीएमई इंडस्ट्रीज का एकाधिकार है, जो प्रसिद्ध कोयोट™ दरवाजे के ताले का उत्पादन करती है। विशेषज्ञ विश्लेषण के अनुसार, कोयोट-श्रेणी का ताला केवल एक बहुत ही जटिल काल्पनिक मशीन द्वारा तोड़ा जा सकता है, जिसके निर्माण के लिए लगभग पांच साल और $000 के निवेश की आवश्यकता होगी। क्या शहर सुरक्षित है?

सबसे अधिक संभावना नहीं. आख़िरकार, एक काफी महत्वाकांक्षी अपराधी सामने आएगा। वह इस तरह तर्क करेगा: “हां, मुझे पहले से ही बड़ी लागत चुकानी पड़ेगी। पांच साल तक धैर्यपूर्वक प्रतीक्षा करना, और $50। लेकिन जब मेरा काम पूरा हो जाएगा, तो मेरे पास इसकी पहुंच होगी इस शहर की सारी संपत्ति. अगर मैं अपने पत्ते सही से खेलूं, तो यह निवेश कई गुना अधिक भुगतान करेगा।

क्रिप्टोग्राफी में भी यही सच है. किसी विशेष सिफर के विरुद्ध हमले क्रूर लागत-लाभ विश्लेषण के अधीन हैं। यदि अनुपात अनुकूल है, तो आक्रमण नहीं होगा। लेकिन एक साथ कई संभावित पीड़ितों के ख़िलाफ़ काम करने वाले हमलों का लगभग हमेशा ही फ़ायदा होता है, इस मामले में सबसे अच्छा डिज़ाइन अभ्यास यह मान लेना है कि वे पहले दिन से ही शुरू हो गए थे। हमारे पास अनिवार्य रूप से मर्फी के नियम का एक क्रिप्टोग्राफ़िक संस्करण है: "कोई भी चीज़ जो वास्तव में सिस्टम को तोड़ सकती है वह सिस्टम को तोड़ देगी।"

क्रिप्टोसिस्टम का सबसे सरल उदाहरण जो प्रीकंप्यूटेशन हमले के प्रति संवेदनशील है, एक निरंतर-कुंजी रहित सिफर है। यही हाल था सीज़र का सिफर, जो बस वर्णमाला के प्रत्येक अक्षर को तीन अक्षर आगे की ओर स्थानांतरित करता है (तालिका को लूप किया गया है, इसलिए वर्णमाला का अंतिम अक्षर तीसरे को एन्क्रिप्ट किया गया है)। यहां फिर से केरचॉफ्स सिद्धांत लागू होता है: एक बार जब कोई सिस्टम हैक हो जाता है, तो वह हमेशा के लिए हैक हो जाता है।

अवधारणा सरल है. यहां तक ​​कि एक नौसिखिया क्रिप्टोसिस्टम डेवलपर भी संभवतः खतरे को पहचानेगा और उसके अनुसार तैयारी करेगा। क्रिप्टोग्राफी के विकास को देखते हुए, सीज़र सिफर के पहले उन्नत संस्करणों से लेकर पॉलीअल्फाबेटिक सिफर के पतन तक, अधिकांश सिफर के लिए ऐसे हमले अनुपयुक्त थे। ऐसे हमले क्रिप्टोग्राफी के आधुनिक युग के आगमन के साथ ही वापस आये।

यह रिटर्न दो कारकों के कारण है. सबसे पहले, पर्याप्त रूप से जटिल क्रिप्टोसिस्टम आखिरकार सामने आए, जहां हैकिंग के बाद शोषण की संभावना स्पष्ट नहीं थी। दूसरा, क्रिप्टोग्राफी इतनी व्यापक हो गई कि लाखों आम लोग हर दिन निर्णय लेते थे कि क्रिप्टोग्राफी के कहां और किन हिस्सों का पुन: उपयोग किया जाए। विशेषज्ञों को जोखिमों का एहसास होने और चेतावनी जारी करने में कुछ समय लगा।

प्रीकंप्यूटेशन हमले को याद रखें: लेख के अंत में हम दो वास्तविक जीवन के क्रिप्टोग्राफ़िक उदाहरण देखेंगे जहां इसने एक महत्वपूर्ण भूमिका निभाई।

प्रक्षेप

यहाँ प्रसिद्ध जासूस शर्लक होम्स है, जो असहाय डॉ. वॉटसन पर प्रक्षेप हमला कर रहा है:

मैंने तुरंत अनुमान लगाया कि आप अफ़ग़ानिस्तान से आए हैं... मेरे विचार इस प्रकार थे: “यह आदमी प्रकार से एक डॉक्टर है, लेकिन उसका रुझान सैन्य है। तो, एक सैन्य चिकित्सक। वह अभी-अभी उष्ण कटिबंध से आया है - उसका चेहरा काला है, लेकिन यह उसकी त्वचा की प्राकृतिक छटा नहीं है, क्योंकि उसकी कलाइयाँ अधिक सफेद हैं। चेहरा मुरझाया हुआ है—जाहिर है, उसे बहुत कष्ट सहना पड़ा है और वह बीमारी से पीड़ित है। उसके बाएं हाथ में चोट लगी थी - वह उसे गतिहीन और थोड़ा अस्वाभाविक रूप से पकड़ता है। उष्ण कटिबंध में एक अंग्रेजी सैन्य डॉक्टर कहाँ कठिनाइयों को सहन कर सकता है और घायल हो सकता है? बेशक, अफ़ग़ानिस्तान में।" विचार की पूरी श्रृंखला में एक सेकंड भी नहीं लगा। और इसलिए मैंने कहा कि आप अफगानिस्तान से आए हैं, और आप आश्चर्यचकित रह गए।

होम्स साक्ष्य के प्रत्येक टुकड़े से अलग-अलग बहुत कम जानकारी निकाल सका। उन सभी पर एक साथ विचार करके ही वह अपने निष्कर्ष पर पहुँच सकता था। एक इंटरपोलेशन हमला एक ही कुंजी से उत्पन्न ज्ञात प्लेनटेक्स्ट और सिफरटेक्स्ट जोड़े की जांच करके समान रूप से काम करता है। प्रत्येक जोड़ी से, व्यक्तिगत अवलोकन निकाले जाते हैं जो कुंजी के बारे में एक सामान्य निष्कर्ष निकालने की अनुमति देते हैं। ये सभी अनुमान अस्पष्ट हैं और तब तक बेकार लगते हैं जब तक कि वे अचानक एक महत्वपूर्ण द्रव्यमान तक नहीं पहुंच जाते और एकमात्र संभावित निष्कर्ष पर नहीं पहुंचते: चाहे यह कितना भी अविश्वसनीय क्यों न हो, यह सच होना चाहिए। इसके बाद, या तो कुंजी प्रकट हो जाती है, या डिक्रिप्शन प्रक्रिया इतनी परिष्कृत हो जाती है कि इसे दोहराया जा सकता है।

आइए एक सरल उदाहरण से समझाएं कि इंटरपोलेशन कैसे काम करता है। मान लीजिए कि हम अपने दुश्मन बॉब की निजी डायरी पढ़ना चाहते हैं। वह अपनी डायरी में प्रत्येक नंबर को एक सरल क्रिप्टोसिस्टम का उपयोग करके एन्क्रिप्ट करता है जिसके बारे में उसने "ए मॉक ऑफ क्रिप्टोग्राफी" पत्रिका में एक विज्ञापन से सीखा था। सिस्टम इस तरह काम करता है: बॉब दो नंबर चुनता है जो उसे पसंद हैं: и . अब से, किसी भी नंबर को एन्क्रिप्ट करने के लिए , यह गणना करता है . उदाहरण के लिए, यदि बॉब ने चुना и , फिर संख्या के रूप में एन्क्रिप्ट किया जाएगा .

मान लीजिए कि 28 दिसंबर को हमने देखा कि बॉब अपनी डायरी में कुछ खुरच रहा था। जब उसका काम पूरा हो जाएगा, तो हम चुपचाप उसे उठा लेंगे और अंतिम प्रविष्टि देखेंगे:

Дата: 235/520

प्रिय डायरी,

आज एक अच्छा दिन था। के माध्यम से 64 आज मेरी अलीसा के साथ डेट है, जो एक अपार्टमेंट में रहती है 843. मैं सचमुच सोचता हूं कि वह हो सकती है 26!

चूँकि हम बॉब को उसकी डेट पर फ़ॉलो करने के बारे में बहुत गंभीर हैं (इस परिदृश्य में हम दोनों 15 वर्ष के हैं), ऐलिस की तारीख के साथ-साथ उसका पता जानना भी महत्वपूर्ण है। सौभाग्य से, हमने देखा कि बॉब का क्रिप्टोसिस्टम इंटरपोलेशन हमले के प्रति संवेदनशील है। हम नहीं जानते होंगे и , लेकिन हम आज की तारीख जानते हैं, इसलिए हमारे पास दो प्लेनटेक्स्ट-सिफरटेक्स्ट जोड़े हैं। अर्थात्, हम यह जानते हैं में एन्क्रिप्टेड और - में . यह वही है जो हम लिखेंगे:

चूँकि हम 15 वर्ष के हैं, हम पहले से ही दो अज्ञात वाले दो समीकरणों की एक प्रणाली के बारे में जानते हैं, जो इस स्थिति में खोजने के लिए पर्याप्त है и बिना किसी समस्या के। प्रत्येक प्लेनटेक्स्ट-सिफरटेक्स्ट जोड़ी बॉब की कुंजी पर एक बाधा डालती है, और दो बाधाएं मिलकर कुंजी को पूरी तरह से पुनर्प्राप्त करने के लिए पर्याप्त हैं। हमारे उदाहरण में उत्तर है и (कम से ताकि 26 डायरी में 'एक' शब्द से मेल खाता है, यानी, "वही एक" - लगभग। गली)।

बेशक, इंटरपोलेशन हमले ऐसे सरल उदाहरणों तक ही सीमित नहीं हैं। प्रत्येक क्रिप्टोसिस्टम जो एक अच्छी तरह से समझी जाने वाली गणितीय वस्तु और मापदंडों की एक सूची को कम करता है, उस पर इंटरपोलेशन हमले का खतरा होता है - वस्तु जितनी अधिक समझने योग्य होगी, जोखिम उतना ही अधिक होगा।

नवागंतुक अक्सर शिकायत करते हैं कि क्रिप्टोग्राफी "चीजों को यथासंभव बदसूरत डिजाइन करने की कला है।" संभवतया इंटरपोलेशन हमले इसके लिए काफी हद तक जिम्मेदार हैं। बॉब या तो एक सुंदर गणितीय डिज़ाइन का उपयोग कर सकता है या ऐलिस के साथ अपनी डेट को निजी रख सकता है - लेकिन अफ़सोस, आमतौर पर आप इसे दोनों तरीकों से नहीं कर सकते। जब हम अंततः सार्वजनिक कुंजी क्रिप्टोग्राफी के विषय पर पहुंचेंगे तो यह बिल्कुल स्पष्ट हो जाएगा।

क्रॉस प्रोटोकॉल/डाउनग्रेड

नाउ यू सी मी (2013) में, भ्रम फैलाने वालों का एक समूह भ्रष्ट बीमा दिग्गज आर्थर ट्रेसलर को उसकी पूरी संपत्ति से चूना लगाने का प्रयास करता है। आर्थर के बैंक खाते तक पहुंच प्राप्त करने के लिए, भ्रम फैलाने वालों को या तो उसका उपयोगकर्ता नाम और पासवर्ड प्रदान करना होगा या उसे बैंक में व्यक्तिगत रूप से उपस्थित होने और योजना में भाग लेने के लिए मजबूर करना होगा।

दोनों विकल्प बहुत कठिन हैं; लोग मंच पर प्रदर्शन करने के आदी हैं, न कि ख़ुफ़िया अभियानों में भाग लेने के। इसलिए वे तीसरा संभावित विकल्प चुनते हैं: उनका साथी बैंक को कॉल करता है और आर्थर होने का नाटक करता है। बैंक पहचान सत्यापित करने के लिए कई प्रश्न पूछता है, जैसे चाचा का नाम और पहले पालतू जानवर का नाम; हमारे नायक पहले से वे चतुर सामाजिक इंजीनियरिंग का उपयोग करके आसानी से आर्थर से यह जानकारी प्राप्त कर लेते हैं. इस बिंदु से, उत्कृष्ट पासवर्ड सुरक्षा अब मायने नहीं रखती।

(एक शहरी किंवदंती के अनुसार, जिसे हमने व्यक्तिगत रूप से सत्यापित और सत्यापित किया है, क्रिप्टोग्राफर एली बीहम का सामना एक बार एक बैंक टेलर से हुआ, जिसने एक सुरक्षा प्रश्न पूछने पर जोर दिया। जब टेलर ने उसकी नानी का नाम पूछा, तो बीहम ने निर्देश देना शुरू कर दिया: "कैपिटल एक्स, छोटा y, तीन... ").

क्रिप्टोग्राफ़ी में भी ऐसा ही है, यदि एक ही संपत्ति की सुरक्षा के लिए दो क्रिप्टोग्राफ़िक प्रोटोकॉल समानांतर में उपयोग किए जाते हैं, और एक दूसरे की तुलना में बहुत कमज़ोर है। परिणामी प्रणाली क्रॉस-प्रोटोकॉल हमले के प्रति संवेदनशील हो जाती है, जहां मजबूत प्रोटोकॉल को छुए बिना पुरस्कार प्राप्त करने के लिए एक कमजोर प्रोटोकॉल पर हमला किया जाता है।

कुछ जटिल मामलों में, केवल कमजोर प्रोटोकॉल का उपयोग करके सर्वर से संपर्क करना पर्याप्त नहीं है, बल्कि एक वैध क्लाइंट की अनैच्छिक भागीदारी की आवश्यकता होती है। इसे तथाकथित डाउनग्रेड हमले का उपयोग करके व्यवस्थित किया जा सकता है। इस हमले को समझने के लिए, आइए मान लें कि हमारे भ्रम फैलाने वालों के लिए फिल्म की तुलना में अधिक कठिन काम है। आइए मान लें कि एक बैंक कर्मचारी (कैशियर) और आर्थर को कुछ अप्रत्याशित परिस्थितियों का सामना करना पड़ा, जिसके परिणामस्वरूप निम्नलिखित संवाद हुआ:

चोर: नमस्ते? यह आर्थर ट्रेसलर है। मैं अपना पासवर्ड रीसेट करना चाहूंगा.

खजांची: महान। कृपया अपनी व्यक्तिगत गुप्त कोड पुस्तक, पृष्ठ 28, शब्द 3 पर एक नज़र डालें। निम्नलिखित सभी संदेशों को कुंजी के रूप में इस विशिष्ट शब्द का उपयोग करके एन्क्रिप्ट किया जाएगा। पीक्यूजेजीएच. LOTJNAM PGGY MXVRL ZZLQ SRIU HHNMLPPPV…

चोर: अरे, अरे, रुको, रुको। क्या ये वाकई जरूरी है? क्या हम सामान्य लोगों की तरह बात नहीं कर सकते?

खजांची: मैं ऐसा करने की अनुशंसा नहीं करता.

चोर: मैं बस...देखो, मेरा दिन ख़राब रहा, ठीक है? मैं एक वीआईपी ग्राहक हूं और मैं इन बेवकूफी भरी कोड पुस्तकों को खंगालने के मूड में नहीं हूं।

खजांची: अच्छा। यदि आप आग्रह करें, श्री ट्रेसलर। आप क्या चाहते हैं?

चोर: कृपया, मैं अपना सारा पैसा आर्थर ट्रेसलर नेशनल विक्टिम्स फंड में दान करना चाहूंगा।

(रोकना)।

खजांची: क्या यह अब स्पष्ट है? कृपया बड़े लेनदेन के लिए अपना पिन प्रदान करें।

चोर: मेरी क्या है?

खजांची: आपके व्यक्तिगत अनुरोध पर, इस आकार के लेनदेन के लिए बड़े लेनदेन के लिए पिन की आवश्यकता होती है। यह कोड आपको अपना खाता खोलते समय दिया गया था।

चोर:... मैंने इसे खो दिया। क्या ये वाकई जरूरी है? क्या आप इस सौदे को मंजूरी नहीं दे सकते?

खजांची: नहीं। मुझे क्षमा करें, श्री ट्रेसलर। फिर, यह वह सुरक्षा उपाय है जिसकी आपने मांग की थी। यदि आप चाहें तो हम आपके मेलबॉक्स पर एक नया पिन कोड भेज सकते हैं।

हमारे नायकों ने ऑपरेशन स्थगित कर दिया। वे पिन सुनने की उम्मीद में ट्रेसलर के कई बड़े लेन-देन पर नज़र रखते हैं; लेकिन हर बार कुछ भी दिलचस्प कहने से पहले ही बातचीत कोडित अस्पष्टता में बदल जाती है। अंततः, एक दिन, योजना क्रियान्वित हो जाती है। वे उस पल का धैर्यपूर्वक इंतजार करते हैं जब ट्रेसलर को फोन पर कोई बड़ा लेनदेन करना होता है, वह लाइन पर आता है, और फिर...

ट्रेसलर: नमस्ते। कृपया, मैं एक दूरस्थ लेनदेन पूरा करना चाहूंगा।

खजांची: महान। कृपया अपनी व्यक्तिगत गुप्त कोड पुस्तक, पृष्ठ पर एक नज़र डालें...

(चोर बटन दबाता है; कैशियर की आवाज़ समझ से परे शोर में बदल जाती है)।

खजांची: - #@$#@$#*@$$@#* कुंजी के रूप में इस शब्द के साथ एन्क्रिप्ट किया जाएगा। AAAYRR PLRQRZ MMNJK लोजबन…

ट्रेसलर: क्षमा करें, मुझे ठीक से समझ नहीं आया। दोबारा? किस पेज पर? कौनसा शब्द?

खजांची: यह पेज है @#$@#*$)#*#@()#@$(#@*$(#@*.

ट्रेसलर: क्या?

खजांची: शब्द संख्या बीस @$#@$#%#$.

ट्रेसलर: गंभीरता से! पहले से ही काफी! आप और आपका सुरक्षा प्रोटोकॉल एक तरह से सर्कस हैं। मैं जानता हूं कि आप मुझसे सामान्य रूप से बात कर सकते हैं।

खजांची: मैं अनुशंसा नहीं करता...

ट्रेसलर: और मैं आपको मेरा समय बर्बाद करने की सलाह नहीं देता। जब तक आप अपनी फ़ोन लाइन की समस्याएँ ठीक नहीं कर लेते, मैं इस बारे में और कुछ नहीं सुनना चाहता। क्या हम इस डील को फाइनल कर पाएंगे या नहीं?

खजांची:… हाँ। अच्छा। आप क्या चाहते हैं?

ट्रेसलर: मैं लॉर्ड बिजनेस इन्वेस्टमेंट्स, खाता संख्या में 20 डॉलर स्थानांतरित करना चाहता हूं...

खजांची: एक मिनट प्लीज़। यह एक बड़ा सौदा है। कृपया बड़े लेनदेन के लिए अपना पिन प्रदान करें।

ट्रेसलर: क्या? ओह, बिल्कुल। 1234.

यहाँ एक नीचे की ओर हमला है. कमजोर प्रोटोकॉल "सिर्फ सीधे बोलें" की कल्पना की गई थी विकल्प आपात्कालीन स्थिति में। और अब तक हम यहीं हैं।

आपको आश्चर्य हो सकता है कि उनके सही दिमाग में ऊपर वर्णित जैसी वास्तविक "जब तक अन्यथा न पूछा जाए तब तक सुरक्षित" प्रणाली को कौन डिज़ाइन करेगा। लेकिन जिस तरह एक काल्पनिक बैंक उन ग्राहकों को बनाए रखने के लिए जोखिम उठाता है जो क्रिप्टोग्राफी पसंद नहीं करते हैं, सामान्य तौर पर सिस्टम अक्सर उन आवश्यकताओं की ओर बढ़ते हैं जो सुरक्षा के प्रति उदासीन या यहां तक ​​​​कि पूरी तरह से प्रतिकूल हैं।

2 में SSLv1995 प्रोटोकॉल के साथ बिल्कुल यही हुआ था। अमेरिकी सरकार ने लंबे समय से क्रिप्टोग्राफी को एक ऐसे हथियार के रूप में देखना शुरू कर दिया है जिसे विदेशी और घरेलू दुश्मनों से दूर रखा जा सकता है। संयुक्त राज्य अमेरिका से निर्यात के लिए कोड के टुकड़ों को व्यक्तिगत रूप से अनुमोदित किया गया था, अक्सर इस शर्त के साथ कि एल्गोरिदम को जानबूझकर कमजोर किया गया था। सबसे लोकप्रिय ब्राउज़र, नेटस्केप नेविगेटर के डेवलपर नेटस्केप को केवल अंतर्निहित रूप से कमजोर 2-बिट आरएसए कुंजी (और आरसी512 के लिए 40-बिट) के साथ एसएसएलवी4 के लिए अनुमति दी गई थी।

सहस्राब्दी के अंत तक, नियमों में ढील दी गई और आधुनिक एन्क्रिप्शन तक पहुंच व्यापक रूप से उपलब्ध हो गई। हालाँकि, क्लाइंट और सर्वर ने उसी जड़ता के कारण वर्षों से कमजोर "निर्यात" क्रिप्टोग्राफी का समर्थन किया है जो किसी भी विरासत प्रणाली के लिए समर्थन बनाए रखता है। ग्राहकों का मानना ​​था कि उन्हें ऐसे सर्वर का सामना करना पड़ सकता है जो किसी अन्य चीज़ का समर्थन नहीं करता। सर्वरों ने वैसा ही किया. बेशक, एसएसएल प्रोटोकॉल यह निर्देश देता है कि क्लाइंट और सर्वर को बेहतर प्रोटोकॉल उपलब्ध होने पर कभी भी कमजोर प्रोटोकॉल का उपयोग नहीं करना चाहिए। लेकिन यही आधार ट्रेसलर और उसके बैंक पर भी लागू होता है।

इस सिद्धांत ने दो हाई-प्रोफाइल हमलों में अपना रास्ता खोज लिया, जिन्होंने 2015 में एसएसएल प्रोटोकॉल की सुरक्षा को हिलाकर रख दिया था, दोनों की खोज माइक्रोसॉफ्ट शोधकर्ताओं द्वारा की गई थी और INRIA. सबसे पहले, FREAK हमले का विवरण फरवरी में सामने आया था, उसके तीन महीने बाद लॉगजम नामक एक और समान हमला हुआ, जिसके बारे में हम और अधिक विस्तार से चर्चा करेंगे जब हम सार्वजनिक कुंजी क्रिप्टोग्राफ़ी पर हमलों पर आगे बढ़ेंगे।

भेद्यता सनकी (जिसे "स्मैक टीएलएस" के रूप में भी जाना जाता है) तब प्रकाश में आया जब शोधकर्ताओं ने टीएलएस क्लाइंट/सर्वर कार्यान्वयन का विश्लेषण किया और एक अजीब बग की खोज की। इन कार्यान्वयनों में, यदि क्लाइंट कमजोर निर्यात क्रिप्टोग्राफी का उपयोग करने के लिए भी नहीं कहता है, लेकिन सर्वर अभी भी ऐसी कुंजियों के साथ प्रतिक्रिया करता है, तो क्लाइंट "ओह ठीक है" कहता है और कमजोर सिफर सूट पर स्विच करता है।

उस समय, निर्यात क्रिप्टोग्राफी को व्यापक रूप से पुराना और सीमा से बाहर माना जाता था, इसलिए यह हमला एक पूर्ण आघात के रूप में आया और व्हाइट हाउस, आईआरएस और एनएसए साइटों सहित कई महत्वपूर्ण डोमेन को प्रभावित किया। इससे भी बदतर, यह पता चला है कि कई कमजोर सर्वर प्रत्येक सत्र के लिए नई कुंजी उत्पन्न करने के बजाय समान कुंजी का पुन: उपयोग करके प्रदर्शन को अनुकूलित कर रहे थे। इससे प्रोटोकॉल को अपग्रेड करने के बाद, पूर्व-गणना हमले को अंजाम देना संभव हो गया: एक कुंजी को क्रैक करना अपेक्षाकृत महंगा रहा (प्रकाशन के समय $100 और 12 घंटे), लेकिन कनेक्शन पर हमला करने की व्यावहारिक लागत काफी कम हो गई थी। सर्वर कुंजी का एक बार अनुमान लगाना और उसी क्षण से बाद के सभी कनेक्शनों के लिए एन्क्रिप्शन को क्रैक करना पर्याप्त है।

और इससे पहले कि हम आगे बढ़ें, एक उन्नत हमले का उल्लेख करना आवश्यक है...

ओरेकल हमला

मोक्सी मार्लिनस्पाइक क्रॉस-प्लेटफ़ॉर्म क्रिप्टो मैसेजिंग ऐप सिग्नल के जनक के रूप में जाने जाते हैं; लेकिन हम व्यक्तिगत रूप से उनके कम-ज्ञात नवाचारों में से एक को पसंद करते हैं: क्रिप्टोग्राफ़िक कयामत का सिद्धांत (क्रिप्टोग्राफ़िक डूम सिद्धांत)। थोड़ा व्याख्या करने के लिए, हम यह कह सकते हैं: “यदि प्रोटोकॉल कार्य करता है कोई संभावित रूप से दुर्भावनापूर्ण स्रोत से किसी संदेश पर क्रिप्टोग्राफ़िक ऑपरेशन करता है और परिणाम के आधार पर अलग-अलग व्यवहार करता है, तो यह बर्बाद हो जाता है।" या अधिक तीखे रूप में: "प्रसंस्करण के लिए दुश्मन से जानकारी न लें, और यदि लेना ही है, तो कम से कम परिणाम न दिखाएं।"

आइए बफ़र ओवरफ़्लो, कमांड इंजेक्शन और इस तरह की चीज़ों को छोड़ दें; वे इस चर्चा के दायरे से बाहर हैं। "कयामत सिद्धांत" का उल्लंघन इस तथ्य के कारण गंभीर क्रिप्टोग्राफी हैक की ओर ले जाता है कि प्रोटोकॉल बिल्कुल उम्मीद के मुताबिक व्यवहार करता है।

उदाहरण के तौर पर, आइए एक कमजोर प्रतिस्थापन सिफर के साथ एक काल्पनिक डिज़ाइन लें, और फिर एक संभावित हमले का प्रदर्शन करें। हालाँकि हमने पहले ही आवृत्ति विश्लेषण का उपयोग करके प्रतिस्थापन सिफर पर हमला देखा है, यह सिर्फ "उसी सिफर को तोड़ने का एक और तरीका" नहीं है। इसके विपरीत, ओरेकल हमले एक अधिक आधुनिक आविष्कार हैं जो कई स्थितियों पर लागू होते हैं जहां आवृत्ति विश्लेषण विफल हो जाता है, और हम अगले भाग में इसका प्रदर्शन देखेंगे। यहां सरल सिफर को केवल उदाहरण को स्पष्ट करने के लिए चुना गया है।

इसलिए ऐलिस और बॉब एक ​​साधारण प्रतिस्थापन सिफर का उपयोग करके एक कुंजी का उपयोग करके संचार करते हैं जो केवल उन्हें ज्ञात है। वे संदेशों की लंबाई के बारे में बहुत सख्त हैं: वे बिल्कुल 20 अक्षर लंबे होते हैं। इसलिए वे इस बात पर सहमत हुए कि यदि कोई छोटा संदेश भेजना चाहता है, तो उसे संदेश के अंत में कुछ डमी टेक्स्ट जोड़ना चाहिए ताकि उसे ठीक 20 अक्षरों का बनाया जा सके। कुछ चर्चा के बाद, उन्होंने निर्णय लिया कि वे केवल निम्नलिखित नकली पाठ स्वीकार करेंगे: a, bb, ccc, dddd आदि। इस प्रकार, किसी भी आवश्यक लंबाई का एक डमी पाठ ज्ञात होता है।

जब ऐलिस या बॉब को कोई संदेश मिलता है, तो वे पहले जाँचते हैं कि संदेश सही लंबाई (20 अक्षर) का है और प्रत्यय सही डमी टेक्स्ट है। यदि यह मामला नहीं है, तो वे उचित त्रुटि संदेश के साथ प्रतिक्रिया देते हैं। यदि पाठ की लंबाई और डमी पाठ ठीक है, तो प्राप्तकर्ता स्वयं संदेश पढ़ता है और एक एन्क्रिप्टेड प्रतिक्रिया भेजता है।

हमले के दौरान, हमलावर बॉब का रूप धारण करता है और ऐलिस को नकली संदेश भेजता है। संदेश पूरी तरह से बकवास हैं - हमलावर के पास चाबी नहीं है और इसलिए वह कोई सार्थक संदेश नहीं बना सकता। लेकिन चूंकि प्रोटोकॉल कयामत सिद्धांत का उल्लंघन करता है, एक हमलावर अभी भी ऐलिस को मुख्य जानकारी प्रकट करने के लिए फंसा सकता है, जैसा कि नीचे दिखाया गया है।

चोर: PREWF ZHJKL MMMN. LA

ऐलिस: अमान्य डमी पाठ.

चोर: PREWF ZHJKL MMMN. LB

ऐलिस: अमान्य डमी पाठ.

चोर: PREWF ZHJKL MMMN. LC

ऐलिस: ILCT? TLCT RUWO PUT KCAW CPS OWPOW!

चोर को पता नहीं है कि ऐलिस ने अभी क्या कहा, लेकिन उसने प्रतीक को नोट कर लिया C अनुरूप होना चाहिए a, चूँकि ऐलिस ने डमी पाठ स्वीकार कर लिया।

चोर: REWF ZHJKL MMMN. LAA

ऐलिस: अमान्य डमी पाठ.

चोर: REWF ZHJKL MMMN. LBB

ऐलिस: अमान्य डमी पाठ.

कई कोशिशों के बाद...

चोर: REWF ZHJKL MMMN. LGG

ऐलिस: अमान्य डमी पाठ.

चोर: REWF ZHJKL MMMN. LHH

ऐलिस: TLQO JWCRO FQAW SUY LCR C OWQXYJW. IW PWWR TU TCFA CHUYT TLQO JWFCTQUPOLQZ.

फिर, हमलावर को पता नहीं है कि ऐलिस ने अभी क्या कहा, लेकिन ध्यान दिया कि एच को बी से मेल खाना चाहिए क्योंकि ऐलिस ने नकली पाठ स्वीकार कर लिया है।

और इसी तरह जब तक हमलावर को प्रत्येक चरित्र का अर्थ पता नहीं चल जाता।

पहली नज़र में, यह विधि चुने हुए प्लेनटेक्स्ट हमले से मिलती जुलती है। अंत में, हमलावर सिफरटेक्स्ट का चयन करता है, और सर्वर आज्ञाकारी रूप से उन्हें संसाधित करता है। मुख्य अंतर जो इन हमलों को वास्तविक दुनिया में व्यवहार्य बनाता है वह यह है कि हमलावर को वास्तविक प्रतिलेख तक पहुंच की आवश्यकता नहीं होती है - एक सर्वर प्रतिक्रिया, यहां तक ​​​​कि "अमान्य डमी पाठ" के रूप में अहानिकर भी पर्याप्त है।

हालाँकि यह विशेष हमला शिक्षाप्रद है, लेकिन "डमी टेक्स्ट" योजना की बारीकियों, उपयोग किए गए विशिष्ट क्रिप्टोसिस्टम, या हमलावर द्वारा भेजे गए संदेशों के सटीक अनुक्रम पर ज्यादा ध्यान न दें। मूल विचार यह है कि कैसे ऐलिस प्लेनटेक्स्ट के गुणों के आधार पर अलग-अलग प्रतिक्रिया करता है, और ऐसा यह सत्यापित किए बिना करता है कि संबंधित सिफरटेक्स्ट वास्तव में एक विश्वसनीय पार्टी से आया है। इस प्रकार, ऐलिस हमलावर को उसके उत्तरों से गुप्त जानकारी निचोड़ने की अनुमति देती है।

इस परिदृश्य में बहुत कुछ बदला जा सकता है। ऐलिस जिन प्रतीकों पर प्रतिक्रिया करती है, या उसके व्यवहार में बहुत अंतर, या यहां तक ​​कि इस्तेमाल किया गया क्रिप्टोसिस्टम भी। लेकिन सिद्धांत वही रहेगा, और समग्र रूप से हमला किसी न किसी रूप में व्यवहार्य रहेगा। इस हमले के बुनियादी कार्यान्वयन ने कई सुरक्षा बगों को उजागर करने में मदद की, जिन पर हम शीघ्र ही नज़र डालेंगे; लेकिन पहले कुछ सैद्धांतिक सबक सीखने होंगे। किसी हमले में इस काल्पनिक "ऐलिस स्क्रिप्ट" का उपयोग कैसे करें जो वास्तविक आधुनिक सिफर पर काम कर सकता है? क्या यह सैद्धांतिक रूप से भी संभव है?

1998 में, स्विस क्रिप्टोग्राफर डैनियल ब्लेइचेनबैकर ने इस प्रश्न का सकारात्मक उत्तर दिया। उन्होंने एक विशिष्ट संदेश योजना का उपयोग करके व्यापक रूप से उपयोग की जाने वाली सार्वजनिक कुंजी क्रिप्टोसिस्टम आरएसए पर ओरेकल हमले का प्रदर्शन किया। कुछ आरएसए कार्यान्वयन में, सर्वर अलग-अलग त्रुटि संदेशों के साथ प्रतिक्रिया करता है, यह इस बात पर निर्भर करता है कि प्लेनटेक्स्ट योजना से मेल खाता है या नहीं; यह हमले को अंजाम देने के लिए पर्याप्त था।

चार साल बाद, 2002 में, फ्रांसीसी क्रिप्टोग्राफर सर्ज वौडेने ने एक ओरेकल हमले का प्रदर्शन किया, जो लगभग ऊपर ऐलिस परिदृश्य में वर्णित हमले के समान था - सिवाय इसके कि एक काल्पनिक सिफर के बजाय, उन्होंने आधुनिक सिफर के एक पूरे सम्मानजनक वर्ग को तोड़ दिया, जिसका लोग वास्तव में उपयोग करते हैं। विशेष रूप से, वाउडेने का हमला निश्चित इनपुट आकार के सिफर ("ब्लॉक सिफर") को लक्षित करता है, जब उनका उपयोग तथाकथित "सीबीसी एन्क्रिप्शन मोड" में और एक निश्चित लोकप्रिय पैडिंग योजना के साथ किया जाता है, जो मूल रूप से ऐलिस परिदृश्य में एक के बराबर है।

इसके अलावा 2002 में, अमेरिकी क्रिप्टोग्राफर जॉन केल्सी ने सह-लेखन किया Twofish - उन प्रणालियों पर विभिन्न ओरेकल हमलों का प्रस्ताव रखा जो संदेशों को संपीड़ित करते हैं और फिर उन्हें एन्क्रिप्ट करते हैं। इनमें से सबसे उल्लेखनीय एक ऐसा हमला था जिसने इस तथ्य का लाभ उठाया कि सिफरटेक्स्ट की लंबाई से प्लेनटेक्स्ट की मूल लंबाई का अनुमान लगाना अक्सर संभव होता है। सिद्धांत रूप में, यह एक ओरेकल हमले की अनुमति देता है जो मूल सादे पाठ के कुछ हिस्सों को पुनर्प्राप्त करता है।

नीचे हम वौडेने और केल्सी हमलों का अधिक विस्तृत विवरण प्रदान करते हैं (जब हम सार्वजनिक कुंजी क्रिप्टोग्राफी पर हमलों के लिए आगे बढ़ते हैं तो हम ब्लेइचेनबैकर हमले का अधिक विस्तृत विवरण देंगे)। हमारे सर्वोत्तम प्रयासों के बावजूद, पाठ कुछ हद तक तकनीकी हो गया है; इसलिए यदि उपरोक्त आपके लिए पर्याप्त है, तो अगले दो अनुभाग छोड़ दें।

वोडेने का आक्रमण

वाउडेने हमले को समझने के लिए, हमें पहले ब्लॉक सिफर और एन्क्रिप्शन मोड के बारे में थोड़ा और बात करने की ज़रूरत है। जैसा कि उल्लेख किया गया है, एक "ब्लॉक सिफर" एक सिफर है जो एक निश्चित लंबाई ("ब्लॉक लंबाई") की एक कुंजी और इनपुट लेता है और उसी लंबाई का एक एन्क्रिप्टेड ब्लॉक तैयार करता है। ब्लॉक सिफर का व्यापक रूप से उपयोग किया जाता है और इसे अपेक्षाकृत सुरक्षित माना जाता है। अब सेवानिवृत्त डीईएस, जिसे पहला आधुनिक सिफर माना जाता है, एक ब्लॉक सिफर था। जैसा कि ऊपर उल्लेख किया गया है, एईएस के लिए भी यही सच है, जिसका आज व्यापक रूप से उपयोग किया जाता है।

दुर्भाग्य से, ब्लॉक सिफर में एक स्पष्ट कमजोरी है। सामान्य ब्लॉक आकार 128 बिट या 16 अक्षर है। जाहिर है, आधुनिक क्रिप्टोग्राफी को बड़े इनपुट डेटा के साथ काम करने की आवश्यकता होती है, और यहीं पर एन्क्रिप्शन मोड काम में आते हैं। एन्क्रिप्शन मोड अनिवार्य रूप से एक हैक है: यह किसी तरह ब्लॉक सिफर को लागू करने का एक तरीका है जो केवल एक निश्चित आकार के इनपुट को एक मनमानी लंबाई के इनपुट के लिए स्वीकार करता है।

वोडेन का हमला ऑपरेशन के लोकप्रिय सीबीसी (सिफर ब्लॉक चेनिंग) मोड पर केंद्रित है। हमला अंतर्निहित ब्लॉक सिफर को एक जादुई, अभेद्य ब्लैक बॉक्स के रूप में मानता है और इसकी सुरक्षा को पूरी तरह से दरकिनार कर देता है।

यहां एक आरेख है जो दिखाता है कि सीबीसी मोड कैसे काम करता है:

गोलाकार प्लस XOR (एक्सक्लूसिव OR) ऑपरेशन को दर्शाता है। उदाहरण के लिए, सिफरटेक्स्ट का दूसरा ब्लॉक प्राप्त होता है:

1. पहले सिफरटेक्स्ट ब्लॉक के साथ दूसरे प्लेनटेक्स्ट ब्लॉक पर XOR ऑपरेशन करके।
2. एक कुंजी का उपयोग करके परिणामी ब्लॉक को ब्लॉक सिफर के साथ एन्क्रिप्ट करना।

चूंकि सीबीसी बाइनरी एक्सओआर ऑपरेशन का इतना भारी उपयोग करता है, आइए इसके कुछ गुणों को याद करने के लिए कुछ समय लें:

• नपुंसकता:
• क्रमपरिवर्तनशीलता:
• साहचर्य:
• स्व-परिवर्तनशीलता:
• बाइट का आकार: बाइट n का = (बाइट n का ) (बाइट n का )

आमतौर पर, इन गुणों का अर्थ यह है कि यदि हमारे पास एक्सओआर संचालन और एक अज्ञात से जुड़ा एक समीकरण है, तो इसे हल किया जा सकता है। उदाहरण के लिए, यदि हम यह जानते हैं अज्ञात के साथ और प्रसिद्ध и , तो हम समीकरण को हल करने के लिए ऊपर उल्लिखित गुणों पर भरोसा कर सकते हैं . समीकरण के दोनों पक्षों पर XOR लगाने से , हम पाते हैं . यह सब एक पल में बहुत प्रासंगिक हो जाएगा।

हमारे ऐलिस परिदृश्य और वाउडेने के हमले के बीच दो छोटे अंतर और एक बड़ा अंतर है। दो छोटे:

• स्क्रिप्ट में, ऐलिस को उम्मीद थी कि सादा पाठ पात्रों के साथ समाप्त हो जाएगा a, bb, ccc और इसी तरह। वोडेन हमले में, पीड़ित को उम्मीद है कि सादे पाठ एन बाइट के साथ एन बार समाप्त होगा (यानी, हेक्साडेसिमल 01 या 02 02, या 03 03 03, और इसी तरह)। यह पूरी तरह से एक कॉस्मेटिक अंतर है.
• ऐलिस परिदृश्य में, "गलत डमी टेक्स्ट" के जवाब से यह बताना आसान था कि ऐलिस ने संदेश स्वीकार कर लिया है या नहीं। वोडेन के हमले में, अधिक विश्लेषण की आवश्यकता है और पीड़ित पक्ष पर सटीक कार्यान्वयन महत्वपूर्ण है; लेकिन संक्षिप्तता के लिए, आइए मान लें कि यह विश्लेषण अभी भी संभव है।

मुख्य अंतर:

• चूँकि हम एक ही क्रिप्टोसिस्टम का उपयोग नहीं कर रहे हैं, हमलावर-नियंत्रित सिफरटेक्स्ट बाइट्स और रहस्यों (कुंजी और प्लेनटेक्स्ट) के बीच संबंध स्पष्ट रूप से अलग होगा। इसलिए, हमलावर को सिफरटेक्स्ट बनाते समय और सर्वर प्रतिक्रियाओं की व्याख्या करते समय एक अलग रणनीति का उपयोग करना होगा।

यह बड़ा अंतर वौडेने हमले को समझने की पहेली का अंतिम भाग है, तो आइए एक पल के लिए सोचें कि सीबीसी पर ओरेकल हमला क्यों और कैसे संभव होगा।

मान लीजिए कि हमें 247 ब्लॉकों का सीबीसी सिफरटेक्स्ट दिया गया है, और हम इसे डिक्रिप्ट करना चाहते हैं। हम सर्वर पर नकली संदेश भेज सकते हैं, जैसे हम पहले ऐलिस को नकली संदेश भेज सकते थे। सर्वर हमारे लिए संदेशों को डिक्रिप्ट करेगा, लेकिन डिक्रिप्शन नहीं दिखाएगा - इसके बजाय, फिर से, ऐलिस की तरह, सर्वर केवल एक बिट जानकारी रिपोर्ट करेगा: क्या प्लेनटेक्स्ट में वैध पैडिंग है या नहीं।

विचार करें कि ऐलिस के परिदृश्य में हमारे निम्नलिखित रिश्ते थे:

$$डिस्प्ले$$टेक्स्ट{SIMPLE_SUBSTITUTION}(टेक्स्ट{सिफरटेक्स्ट},टेक्स्ट{की}) = टेक्स्ट{प्लेनटेक्स्ट}$$डिस्प्ले$$

चलिए इसे "ऐलिस समीकरण" कहते हैं। हमने सिफरटेक्स्ट को नियंत्रित किया; सर्वर (ऐलिस) ने प्राप्त सादे पाठ के बारे में अस्पष्ट जानकारी लीक कर दी; और इससे हमें अंतिम कारक - कुंजी - के बारे में जानकारी प्राप्त करने की अनुमति मिली। सादृश्य से, यदि हम सीबीसी स्क्रिप्ट के लिए ऐसा कोई कनेक्शन पा सकते हैं, तो हम वहां से कुछ गुप्त जानकारी भी निकालने में सक्षम हो सकते हैं।

सौभाग्य से, वहाँ वास्तव में ऐसे रिश्ते हैं जिनका हम उपयोग कर सकते हैं। ब्लॉक सिफर को डिक्रिप्ट करने के लिए अंतिम कॉल के आउटपुट पर विचार करें और इस आउटपुट को इस रूप में निरूपित करें . हम सादे पाठ के ब्लॉकों को भी निरूपित करते हैं और सिफरटेक्स्ट ब्लॉक . सीबीसी आरेख पर एक और नज़र डालें और देखें कि क्या होता है:

चलिए इसे "सीबीसी समीकरण" कहते हैं।

ऐलिस के परिदृश्य में, सिफरटेक्स्ट की निगरानी करके और संबंधित प्लेनटेक्स्ट लीक को देखकर, हम एक ऐसे हमले को अंजाम देने में सक्षम थे जिसने समीकरण में तीसरा पद - कुंजी - पुनर्प्राप्त कर लिया। सीबीसी परिदृश्य में, हम सिफरटेक्स्ट की भी निगरानी करते हैं और संबंधित प्लेनटेक्स्ट पर सूचना लीक का निरीक्षण करते हैं। यदि सादृश्य सही बैठता है, तो हम इसके बारे में जानकारी प्राप्त कर सकते हैं .

आइए मान लें कि हमने वास्तव में बहाल कर दिया है , तो क्या? ठीक है, फिर हम प्लेनटेक्स्ट के पूरे अंतिम ब्लॉक को एक साथ प्रिंट कर सकते हैं (), बस प्रवेश करके (जो हमारे पास है) और
प्राप्त किया सीबीसी समीकरण में.

अब जब हम हमले की समग्र योजना के बारे में आशावादी हैं, तो विवरणों पर काम करने का समय आ गया है। कृपया इस बात पर ध्यान दें कि सर्वर पर प्लेनटेक्स्ट जानकारी कैसे लीक होती है। ऐलिस की स्क्रिप्ट में, रिसाव इसलिए हुआ क्योंकि ऐलिस केवल सही संदेश के साथ प्रतिक्रिया देगा यदि $inline$text{SIMPLE_SUBSTITUTION}(text{ciphertext},text{key})$inline$ पंक्ति के साथ समाप्त हो a (या bb, और इसी तरह, लेकिन इन स्थितियों के संयोगवश उत्पन्न होने की संभावना बहुत कम थी)। सीबीसी के समान, सर्वर पैडिंग स्वीकार करता है यदि और केवल यदि हेक्साडेसिमल में समाप्त होता है 01. तो आइए वही ट्रिक आज़माएँ: अपने स्वयं के नकली मूल्यों के साथ नकली सिफरटेक्स्ट भेजना जब तक सर्वर फिलिंग स्वीकार नहीं कर लेता।

जब सर्वर हमारे किसी नकली संदेश के लिए पैडिंग स्वीकार करता है, तो इसका मतलब है कि:

अब हम बाइट-बाइट XOR प्रॉपर्टी का उपयोग करते हैं:

हम पहले और तीसरे पद को जानते हैं। और हम पहले ही देख चुके हैं कि यह हमें शेष शब्द - अंतिम बाइट को पुनर्प्राप्त करने की अनुमति देता है :

यह हमें सीबीसी समीकरण और बाइट-बाय-बाइट प्रॉपर्टी के माध्यम से अंतिम प्लेनटेक्स्ट ब्लॉक का अंतिम बाइट भी देता है।

हम इसे वहीं छोड़ सकते हैं और संतुष्ट हो सकते हैं कि हमने सैद्धांतिक रूप से मजबूत सिफर पर हमला किया है। लेकिन वास्तव में हम और भी बहुत कुछ कर सकते हैं: हम वास्तव में सभी पाठ को पुनर्प्राप्त कर सकते हैं। इसके लिए एक ऐसी ट्रिक की आवश्यकता है जो ऐलिस की मूल स्क्रिप्ट में नहीं थी और ओरेकल हमले के लिए आवश्यक नहीं है, लेकिन यह अभी भी सीखने लायक है।

इसे समझने के लिए सबसे पहले ध्यान दें कि आखिरी बाइट का सही वैल्यू आउटपुट करने पर क्या परिणाम मिलता है हमारे पास एक नई क्षमता है. अब, सिफरटेक्स्ट बनाते समय, हम संबंधित प्लेनटेक्स्ट के अंतिम बाइट में हेरफेर कर सकते हैं। फिर, यह सीबीसी समीकरण और बाइट-बाय-बाइट संपत्ति से संबंधित है:

चूँकि अब हम दूसरे पद को जानते हैं, हम पहले पर अपने नियंत्रण का उपयोग तीसरे को नियंत्रित करने के लिए कर सकते हैं। हम बस गणना करते हैं:

हम पहले ऐसा नहीं कर सके क्योंकि हमारे पास अभी तक अंतिम बाइट नहीं थी .

इससे हमें कैसे मदद मिलेगी? मान लीजिए कि अब हम सभी सिफरटेक्स्ट इस प्रकार बनाते हैं कि संबंधित प्लेनटेक्स्ट में अंतिम बाइट बराबर हो 02. सर्वर अब केवल पैडिंग स्वीकार करता है यदि प्लेनटेक्स्ट समाप्त होता है 02 02. चूंकि हमने अंतिम बाइट को सही कर दिया है, यह तभी होगा जब प्लेनटेक्स्ट का अंतिम बाइट भी 02 हो। हम नकली सिफरटेक्स्ट ब्लॉक भेजते रहते हैं, अंतिम बाइट बदलते रहते हैं, जब तक कि सर्वर उनमें से किसी एक के लिए पैडिंग स्वीकार नहीं कर लेता। इस बिंदु पर हमें मिलता है:

और हम अंतिम बाइट को पुनर्स्थापित करते हैं ठीक वैसे ही जैसे पिछले वाले को बहाल किया गया था। हम उसी भावना से आगे बढ़ते हैं: हम सादे पाठ के अंतिम दो बाइट्स को सही करते हैं 03 03, हम अंत से तीसरे बाइट के लिए इस हमले को दोहराते हैं और इसी तरह, अंततः पूरी तरह से बहाल हो जाते हैं .

शेष पाठ के बारे में क्या? कृपया ध्यान दें कि मूल्य वास्तव में $inline$text{BLOCK_DECRYPT}(text{key},C_{247})$inline$ है। हम इसकी जगह कोई अन्य ब्लॉक लगा सकते हैं , और हमला फिर भी सफल रहेगा। वास्तव में, हम सर्वर से किसी भी डेटा के लिए $inline$text{BLOCK_DECRYPT}$inline$ करने के लिए कह सकते हैं। इस बिंदु पर, यह खेल खत्म हो गया है - हम किसी भी सिफरटेक्स्ट को डिक्रिप्ट कर सकते हैं (इसे देखने के लिए सीबीसी डिक्रिप्शन आरेख पर एक और नज़र डालें; और ध्यान दें कि IV सार्वजनिक है)।

यह विशेष विधि ओरेकल हमले में एक महत्वपूर्ण भूमिका निभाती है जिसका हम बाद में सामना करेंगे।

केल्सी का आक्रमण

हमारे अनुकूल जॉन केल्सी ने कई संभावित हमलों के अंतर्निहित सिद्धांतों को सामने रखा, न कि केवल एक विशिष्ट सिफर पर एक विशिष्ट हमले का विवरण। उसका वर्ष का 2002 लेख एन्क्रिप्टेड संपीड़ित डेटा पर संभावित हमलों का एक अध्ययन है। क्या आपने सोचा था कि एन्क्रिप्शन से पहले डेटा को संपीड़ित किया गया था, यह जानकारी किसी हमले को अंजाम देने के लिए पर्याप्त नहीं थी? यह पता चला कि यह काफी है।

यह आश्चर्यजनक परिणाम दो सिद्धांतों के कारण है। सबसे पहले, प्लेनटेक्स्ट की लंबाई और सिफरटेक्स्ट की लंबाई के बीच एक मजबूत संबंध है; कई सिफर के लिए सटीक समानता। दूसरा, जब संपीड़न किया जाता है, तो संपीड़ित संदेश की लंबाई और सादे पाठ के "शोर" की डिग्री के बीच एक मजबूत संबंध होता है, यानी, गैर-दोहराए जाने वाले वर्णों का अनुपात (तकनीकी शब्द "उच्च एन्ट्रॉपी" है) ).

सिद्धांत को कार्यरूप में देखने के लिए, दो सादे पाठों पर विचार करें:

सादापाठ 1: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

सादापाठ 2: ATVXCAGTRSVPTVVULSJQHGEYCMQPCRQBGCYIXCFJGJ

आइए मान लें कि दोनों प्लेनटेक्स्ट संपीड़ित हैं और फिर एन्क्रिप्टेड हैं। आपको दो परिणामी सिफरटेक्स्ट मिलते हैं और आपको अनुमान लगाना होगा कि कौन सा सिफरटेक्स्ट किस प्लेनटेक्स्ट से मेल खाता है:

सिफरटेक्स्ट 1: PVOVEYBPJDPVANEAWVGCIUWAABCIYIKOOURMYDTA

सिफरटेक्स्ट 2: DWKJZXYU

उत्तर स्पष्ट है. प्लेनटेक्स्ट के बीच, केवल प्लेनटेक्स्ट 1 को दूसरे सिफरटेक्स्ट की अल्प लंबाई में संपीड़ित किया जा सकता है। हमने कंप्रेशन एल्गोरिदम, एन्क्रिप्शन कुंजी या यहां तक ​​कि सिफर के बारे में कुछ भी जाने बिना ही इसका पता लगा लिया। संभावित क्रिप्टोग्राफ़िक हमलों के पदानुक्रम की तुलना में, यह एक तरह से पागलपन है।

केल्सी आगे बताते हैं कि कुछ असामान्य परिस्थितियों में इस सिद्धांत का उपयोग दैवज्ञ हमले को अंजाम देने के लिए भी किया जा सकता है। विशेष रूप से, यह वर्णन करता है कि एक हमलावर गुप्त प्लेनटेक्स्ट को कैसे पुनर्प्राप्त कर सकता है यदि वह सर्वर को फॉर्म डेटा को एन्क्रिप्ट करने के लिए मजबूर कर सकता है (प्लेनटेक्स्ट के बाद जबकि वह नियंत्रण में है और किसी तरह एन्क्रिप्टेड परिणाम की लंबाई की जांच कर सकता है।

फिर, अन्य ओरेकल हमलों की तरह, हमारा रिश्ता है:

पुनः, हम एक पद को नियंत्रित करते हैं (), हम किसी अन्य सदस्य (सिफरटेक्स्ट) के बारे में जानकारी का एक छोटा सा रिसाव देखते हैं और अंतिम (प्लेनटेक्स्ट) को पुनर्प्राप्त करने का प्रयास करते हैं। सादृश्य के बावजूद, हमारे द्वारा देखे गए अन्य ओरेकल हमलों की तुलना में यह कुछ हद तक असामान्य स्थिति है।

यह समझाने के लिए कि ऐसा हमला कैसे काम कर सकता है, आइए एक काल्पनिक संपीड़न योजना का उपयोग करें जिसे हम अभी लेकर आए हैं: TOYZIP। यह पाठ की उन पंक्तियों की तलाश करता है जो पाठ में पहले दिखाई दे चुकी हैं और उन्हें तीन प्लेसहोल्डर बाइट्स से बदल देता है जो इंगित करता है कि पंक्ति का पुराना उदाहरण कहां ढूंढना है और यह वहां कितनी बार दिखाई देता है। उदाहरण के लिए, रेखा helloworldhello में संपीड़ित किया जा सकता है helloworld[00][00][05] मूल 13 बाइट्स की तुलना में 15 बाइट्स लंबा।

मान लीजिए कि कोई हमलावर किसी फॉर्म के प्लेनटेक्स्ट को पुनर्प्राप्त करने का प्रयास करता है password=..., जहां पासवर्ड ही अज्ञात है। केल्सी के आक्रमण मॉडल के अनुसार, एक हमलावर सर्वर से फॉर्म संदेशों को संपीड़ित करने और फिर एन्क्रिप्ट करने के लिए कह सकता है (इसके बाद सादा पाठ) ) कहाँ  - फ्री टेक्स्ट। जब सर्वर काम करना समाप्त कर लेता है, तो यह परिणाम की लंबाई की रिपोर्ट करता है। हमला इस प्रकार होता है:

चोर: कृपया प्लेनटेक्स्ट को बिना किसी पैडिंग के संपीड़ित और एन्क्रिप्ट करें।

सर्वर: परिणाम की लंबाई 14.

चोर: कृपया जिस प्लेनटेक्स्ट को जोड़ा गया है उसे संपीड़ित और एन्क्रिप्ट करें password=a.

सर्वर: परिणाम की लंबाई 18.

क्रैकर नोट: [मूल 14] + [तीन बाइट्स जो बदले गए password=] + a

चोर: कृपया उस प्लेनटेक्स्ट को संपीड़ित और एन्क्रिप्ट करें जिसमें जोड़ा गया है password=b.

सर्वर: परिणाम की लंबाई 18.

चोर: कृपया उस प्लेनटेक्स्ट को संपीड़ित और एन्क्रिप्ट करें जिसमें जोड़ा गया है password=с.

सर्वर: परिणाम की लंबाई 17.

क्रैकर नोट: [मूल 14] + [तीन बाइट्स जो बदले गए password=c]. यह मानता है कि मूल प्लेनटेक्स्ट में स्ट्रिंग है password=c. यानी पासवर्ड की शुरुआत एक अक्षर से होती है c

चोर: कृपया उस प्लेनटेक्स्ट को संपीड़ित और एन्क्रिप्ट करें जिसमें जोड़ा गया है password=сa.

सर्वर: परिणाम की लंबाई 18.

क्रैकर नोट: [मूल 14] + [तीन बाइट्स जो बदले गए password=с] + a

चोर: कृपया उस प्लेनटेक्स्ट को संपीड़ित और एन्क्रिप्ट करें जिसमें जोड़ा गया है password=сb.

सर्वर: परिणाम की लंबाई 18.

(… कुछ समय बाद…)

चोर: कृपया उस प्लेनटेक्स्ट को संपीड़ित और एन्क्रिप्ट करें जिसमें जोड़ा गया है password=со.

सर्वर: परिणाम की लंबाई 17.

क्रैकर नोट: [मूल 14] + [तीन बाइट्स जो बदले गए password=co]. उसी तर्क का उपयोग करते हुए, हमलावर यह निष्कर्ष निकालता है कि पासवर्ड अक्षरों से शुरू होता है co

और इसी तरह जब तक पूरा पासवर्ड बहाल नहीं हो जाता।

पाठक को यह सोचने के लिए क्षमा किया जाएगा कि यह पूरी तरह से अकादमिक अभ्यास है और वास्तविक दुनिया में इस तरह के हमले की स्थिति कभी उत्पन्न नहीं होगी। अफसोस, जैसा कि हम जल्द ही देखेंगे, क्रिप्टोग्राफी को न छोड़ना बेहतर है।

ब्रांड की कमजोरियाँ: अपराध, पूडल, डूबना

अंत में, सिद्धांत का विस्तार से अध्ययन करने के बाद, हम देख सकते हैं कि इन तकनीकों को वास्तविक जीवन के क्रिप्टोग्राफ़िक हमलों में कैसे लागू किया जाता है।

अपराध

यदि हमला पीड़ित के ब्राउज़र और नेटवर्क को लक्षित करता है, तो कुछ चीजें आसान हो जाएंगी और कुछ अधिक कठिन हो जाएंगी। उदाहरण के लिए, पीड़ित के ट्रैफ़िक को देखना आसान है: बस उसके साथ वाईफाई वाले उसी कैफे में बैठें। इस कारण से, संभावित पीड़ितों (यानी हर किसी) को आम तौर पर एन्क्रिप्टेड कनेक्शन का उपयोग करने की सलाह दी जाती है। पीड़ित की ओर से किसी तृतीय-पक्ष साइट (उदाहरण के लिए, Google) पर HTTP अनुरोध करना अधिक कठिन होगा, लेकिन फिर भी संभव होगा। हमलावर को पीड़ित को अनुरोध करने वाली स्क्रिप्ट के साथ एक दुर्भावनापूर्ण वेब पेज पर आकर्षित करना होगा। वेब ब्राउज़र स्वचालित रूप से संबंधित सत्र कुकी प्रदान करेगा।

यह आश्चर्यजनक लगता है. अगर बॉब गया evil.com, क्या इस साइट की स्क्रिप्ट Google से बॉब का पासवर्ड ईमेल करने के लिए कह सकती है [email protected]? ख़ैर, सैद्धांतिक तौर पर हाँ, लेकिन हकीकत में नहीं। इस परिदृश्य को क्रॉस-साइट अनुरोध जालसाजी हमला कहा जाता है (क्रॉस साइट अनुरोध जालसाजी, सीएसआरएफ), और यह 90 के दशक के मध्य में लोकप्रिय था। आज अगर evil.com इस ट्रिक को आज़माने पर, Google (या कोई भी स्वाभिमानी वेबसाइट) आमतौर पर जवाब देगी, "बहुत बढ़िया, लेकिन इस लेनदेन के लिए आपका CSRF टोकन होगा...उम... три триллиона и семь. कृपया इस संख्या को दोहराएँ।" आधुनिक ब्राउज़रों में "समान-मूल नीति" नामक कुछ चीज़ होती है, जिसके तहत साइट ए की स्क्रिप्ट को वेबसाइट बी द्वारा भेजी गई जानकारी तक पहुंच नहीं होती है। इसलिए स्क्रिप्ट चालू है evil.com को अनुरोध भेज सकते हैं google.com, लेकिन प्रतिक्रियाएँ नहीं पढ़ सकता या वास्तव में लेन-देन पूरा नहीं कर सकता।

हमें इस बात पर ज़ोर देना चाहिए कि जब तक बॉब एन्क्रिप्टेड कनेक्शन का उपयोग नहीं कर रहा है, ये सभी सुरक्षाएं अर्थहीन हैं। एक हमलावर केवल बॉब के ट्रैफ़िक को पढ़ सकता है और Google की सत्र कुकी को पुनर्प्राप्त कर सकता है। इस कुकी के साथ, वह बस अपना ब्राउज़र छोड़े बिना एक नया Google टैब खोलेगा और समान-मूल नीतियों का सामना किए बिना बॉब का प्रतिरूपण करेगा। लेकिन, दुर्भाग्य से एक चोर के लिए, यह कम और आम होता जा रहा है। समग्र रूप से इंटरनेट ने लंबे समय से अनएन्क्रिप्टेड कनेक्शनों पर युद्ध की घोषणा की है, और बॉब का आउटगोइंग ट्रैफ़िक संभवतः एन्क्रिप्टेड है, चाहे वह इसे पसंद करे या नहीं। इसके अलावा, प्रोटोकॉल के कार्यान्वयन की शुरुआत से ही, ट्रैफ़िक भी था सिकुड़ गया एन्क्रिप्शन से पहले; विलंबता को कम करने के लिए यह सामान्य अभ्यास था।

यहीं पर यह चलन में आता है अपराध (संपीड़न अनुपात इन्फोलीक मेड ईज़ी, संपीड़न अनुपात के माध्यम से सरल रिसाव)। सुरक्षा शोधकर्ताओं जूलियानो रिज़ो और थाई डुओंग द्वारा सितंबर 2012 में भेद्यता का खुलासा किया गया था। हमने पहले ही संपूर्ण सैद्धांतिक आधार की जांच कर ली है, जो हमें यह समझने की अनुमति देता है कि उन्होंने क्या किया और कैसे किया। एक हमलावर बॉब के ब्राउज़र को Google को अनुरोध भेजने और फिर संपीड़ित, एन्क्रिप्टेड रूप में स्थानीय नेटवर्क पर प्रतिक्रियाओं को सुनने के लिए मजबूर कर सकता है। इसलिए हमारे पास है:

यहां हमलावर अनुरोध को नियंत्रित करता है और पैकेट आकार सहित ट्रैफ़िक स्निफ़र तक उसकी पहुंच होती है। केल्सी का काल्पनिक परिदृश्य जीवंत हो उठा।

सिद्धांत को समझते हुए, CRIME के ​​लेखकों ने एक ऐसा कारनामा तैयार किया जो जीमेल, ट्विटर, ड्रॉपबॉक्स और जीथब सहित कई साइटों के लिए सत्र कुकीज़ चुरा सकता है। भेद्यता ने अधिकांश आधुनिक वेब ब्राउज़रों को प्रभावित किया, जिसके परिणामस्वरूप पैच जारी किए गए जो चुपचाप एसएसएल में संपीड़न सुविधा को दफन कर देते थे ताकि इसका उपयोग बिल्कुल भी न किया जा सके। भेद्यता से सुरक्षित एकमात्र आदरणीय इंटरनेट एक्सप्लोरर था, जिसने कभी भी एसएसएल संपीड़न का उपयोग नहीं किया था।

POODLE

अक्टूबर 2014 में, Google सुरक्षा टीम ने सुरक्षा समुदाय में हलचल मचा दी। वे एसएसएल प्रोटोकॉल में एक भेद्यता का फायदा उठाने में सक्षम थे जिसे दस साल से अधिक समय पहले ठीक किया गया था।

यह पता चला है कि जब सर्वर चमकदार नए TLSv1.2 चला रहे हैं, तो कई ने इंटरनेट एक्सप्लोरर 3 के साथ बैकवर्ड संगतता के लिए पुराने SSLv6 के लिए समर्थन छोड़ दिया है। हम पहले ही डाउनग्रेड हमलों के बारे में बात कर चुके हैं, इसलिए आप कल्पना कर सकते हैं कि क्या हो रहा है। हैंडशेक प्रोटोकॉल की एक सुनियोजित तोड़फोड़ और सर्वर अच्छे पुराने SSLv3 पर लौटने के लिए तैयार हैं, जो अनिवार्य रूप से पिछले 15 वर्षों के सुरक्षा अनुसंधान को नष्ट कर रहा है।

ऐतिहासिक संदर्भ के लिए, यहां मैथ्यू ग्रीन से संस्करण 2 तक एसएसएल के इतिहास का संक्षिप्त सारांश दिया गया है:

ट्रांसपोर्ट लेयर सिक्योरिटी (टीएलएस) इंटरनेट पर सबसे महत्वपूर्ण सुरक्षा प्रोटोकॉल है। [..] इंटरनेट पर आपके द्वारा किया जाने वाला लगभग हर लेनदेन टीएलएस पर निर्भर करता है। [..] लेकिन टीएलएस हमेशा टीएलएस नहीं था। प्रोटोकॉल ने अपना जीवन शुरू किया नेटस्केप कम्युनिकेशंस इसे "सिक्योर सॉकेट लेयर" या एसएसएल कहा जाता है। अफवाह यह है कि एसएसएल का पहला संस्करण इतना भयानक था कि डेवलपर्स ने कोड के सभी प्रिंटआउट एकत्र किए और उन्हें न्यू मैक्सिको में एक गुप्त लैंडफिल में दफन कर दिया। परिणामस्वरूप, SSL का पहला सार्वजनिक रूप से उपलब्ध संस्करण वास्तव में है संस्करण एसएसएल 2. यह बहुत डरावना है, और [..] यह 90 के दशक के मध्य का उत्पाद था, जिसे आधुनिक क्रिप्टोग्राफर "क्रिप्टोग्राफी का अंधकार युग" आज हम जिन सबसे जघन्य क्रिप्टोग्राफ़िक हमलों के बारे में जानते हैं उनमें से कई का अभी तक पता नहीं चल पाया है। परिणामस्वरूप, SSLv2 प्रोटोकॉल के डेवलपर्स को अनिवार्य रूप से अंधेरे में अपना रास्ता तलाशने के लिए छोड़ दिया गया, और उन्हें सामना करना पड़ा बहुत सारे भयानक राक्षस - उनकी निराशा और हमारे लाभ के लिए, क्योंकि SSLv2 पर हमलों ने अगली पीढ़ी के प्रोटोकॉल के लिए अमूल्य सबक छोड़े हैं।

इन घटनाओं के बाद, 1996 में, निराश नेटस्केप ने एसएसएल प्रोटोकॉल को नए सिरे से डिज़ाइन किया। परिणाम एसएसएल संस्करण 3 था, जो अपने पूर्ववर्ती के कई ज्ञात सुरक्षा मुद्दों को ठीक किया.

चोरों के लिए सौभाग्य से, "कुछ" का मतलब "सभी" नहीं है। कुल मिलाकर, SSLv3 ने वोडेन हमले को शुरू करने के लिए सभी आवश्यक बिल्डिंग ब्लॉक प्रदान किए। प्रोटोकॉल में सीबीसी मोड ब्लॉक सिफर और एक असुरक्षित पैडिंग योजना का उपयोग किया गया था (इसे टीएलएस में ठीक किया गया था; इसलिए डाउनग्रेड हमले की आवश्यकता थी)। यदि आपको वौडेने हमले के हमारे मूल विवरण में पैडिंग योजना याद है, तो एसएसएलवी3 योजना बहुत समान है।

लेकिन, दुर्भाग्य से चोरों के लिए, "समान" का अर्थ "समान" नहीं है। SSLv3 पैडिंग योजना "एन यादृच्छिक बाइट्स जिसके बाद संख्या एन" है। इन शर्तों के तहत, सिफरटेक्स्ट के एक काल्पनिक ब्लॉक का चयन करने का प्रयास करें और वूडेन की मूल योजना के सभी चरणों से गुजरें: आप पाएंगे कि हमला प्लेनटेक्स्ट के संबंधित ब्लॉक से अंतिम बाइट को सफलतापूर्वक निकालता है, लेकिन आगे नहीं जाता है। सिफरटेक्स्ट के हर 16वें बाइट को डिक्रिप्ट करना एक बेहतरीन ट्रिक है, लेकिन यह कोई जीत नहीं है।

विफलता का सामना करते हुए, Google टीम ने अंतिम उपाय का सहारा लिया: उन्होंने अधिक शक्तिशाली ख़तरे वाले मॉडल पर स्विच किया - जो कि CRIME में उपयोग किया गया था। यह मानते हुए कि हमलावर पीड़ित के ब्राउज़र टैब में चल रही एक स्क्रिप्ट है और सत्र कुकीज़ निकाल सकता है, हमला अभी भी प्रभावशाली है। जबकि व्यापक खतरा मॉडल कम यथार्थवादी है, हमने पिछले अनुभाग में देखा कि यह विशेष मॉडल व्यवहार्य है।

इन अधिक शक्तिशाली हमलावर क्षमताओं को देखते हुए, हमला अब जारी रह सकता है। ध्यान दें कि हमलावर जानता है कि एन्क्रिप्टेड सत्र कुकी हेडर में कहां दिखाई देती है और उसके पहले HTTP अनुरोध की लंबाई को नियंत्रित करता है। इसलिए, यह HTTP अनुरोध में हेरफेर करने में सक्षम है ताकि कुकी का अंतिम बाइट ब्लॉक के अंत के साथ संरेखित हो। अब यह बाइट डिक्रिप्शन के लिए उपयुक्त है. आप अनुरोध में बस एक अक्षर जोड़ सकते हैं, और कुकी का अंतिम बाइट उसी स्थान पर रहेगा और उसी विधि का उपयोग करके चयन के लिए उपयुक्त है। कुकी फ़ाइल पूरी तरह से पुनर्स्थापित होने तक हमला इसी प्रकार जारी रहता है। इसे पूडल कहा जाता है: डाउनग्रेडेड लिगेसी एन्क्रिप्शन पर पैडिंग ओरेकल।

डूबना

जैसा कि हमने बताया, SSLv3 में खामियां थीं, लेकिन यह अपने पूर्ववर्ती से मौलिक रूप से अलग था, क्योंकि लीक हुआ SSLv2 एक अलग युग का उत्पाद था। वहां आप संदेश को बीच में ही रोक सकते हैं: соглашусь на это только через мой труп में बदल गया соглашусь на это; क्लाइंट और सर्वर ऑनलाइन मिल सकते हैं, विश्वास स्थापित कर सकते हैं और हमलावर के सामने रहस्यों का आदान-प्रदान कर सकते हैं, जो फिर आसानी से दोनों का प्रतिरूपण कर सकता है। निर्यात क्रिप्टोग्राफी में भी समस्या है, जिसका उल्लेख हमने FREAK पर विचार करते समय किया था। ये क्रिप्टोग्राफ़िक सदोम और अमोरा थे।

मार्च 2016 में, विभिन्न तकनीकी क्षेत्रों के शोधकर्ताओं की एक टीम एक साथ आई और एक चौंकाने वाली खोज की: SSLv2 का उपयोग अभी भी सुरक्षा प्रणालियों में किया जाता है। हाँ, हमलावर अब आधुनिक TLS सत्रों को SSLv2 पर डाउनग्रेड नहीं कर सकते क्योंकि FREAK और POODLE के बाद वह छेद बंद हो गया था, लेकिन वे अभी भी सर्वर से कनेक्ट हो सकते हैं और SSLv2 सत्र स्वयं शुरू कर सकते हैं।

आप पूछ सकते हैं, हमें इसकी परवाह क्यों है कि वे वहां क्या करते हैं? उनके पास एक असुरक्षित सत्र है, लेकिन इसका अन्य सत्रों या सर्वर की सुरक्षा पर कोई प्रभाव नहीं पड़ना चाहिए - है ना? ख़ैर, बिलकुल नहीं। हाँ, सिद्धांत रूप में ऐसा ही होना चाहिए। लेकिन नहीं - क्योंकि एसएसएल प्रमाणपत्र बनाने से एक निश्चित बोझ पड़ता है, जिसके परिणामस्वरूप कई सर्वर एक ही प्रमाणपत्र का उपयोग करते हैं और परिणामस्वरूप, टीएलएस और एसएसएलवी2 कनेक्शन के लिए समान आरएसए कुंजी का उपयोग करते हैं। मामले को बदतर बनाने के लिए, ओपनएसएसएल बग के कारण, इस लोकप्रिय एसएसएल कार्यान्वयन में "एसएसएलवी2 अक्षम करें" विकल्प वास्तव में काम नहीं करता था।

इससे टीएलएस पर एक क्रॉस-प्रोटोकॉल हमला संभव हो गया, जिसे कहा जाता है डूबना (अप्रचलित और कमजोर एन्क्रिप्शन के साथ आरएसए को डिक्रिप्ट करना, अप्रचलित और कमजोर एन्क्रिप्शन के साथ आरएसए को डिक्रिप्ट करना)। याद रखें कि यह एक छोटे हमले के समान नहीं है; हमलावर को "बीच के आदमी" के रूप में कार्य करने की आवश्यकता नहीं है और असुरक्षित सत्र में भाग लेने के लिए ग्राहक को शामिल करने की आवश्यकता नहीं है। हमलावर स्वयं सर्वर के साथ एक असुरक्षित SSLv2 सत्र शुरू करते हैं, कमजोर प्रोटोकॉल पर हमला करते हैं, और सर्वर की RSA निजी कुंजी को पुनर्प्राप्त करते हैं। यह कुंजी टीएलएस कनेक्शन के लिए भी मान्य है, और इस बिंदु से, टीएलएस सुरक्षा की कोई भी मात्रा इसे समझौता होने से नहीं रोक पाएगी।

लेकिन इसे क्रैक करने के लिए, आपको SSLv2 के विरुद्ध एक कार्यशील हमले की आवश्यकता है, जो आपको न केवल विशिष्ट ट्रैफ़िक, बल्कि गुप्त RSA सर्वर कुंजी भी पुनर्प्राप्त करने की अनुमति देता है। हालाँकि यह एक जटिल सेटअप है, शोधकर्ता कोई भी भेद्यता चुन सकते हैं जो SSLv2 के बाद पूरी तरह से बंद हो गई हो। अंततः उन्हें एक उपयुक्त विकल्प मिल गया: ब्लीचेनबाकर हमला, जिसका हमने पहले उल्लेख किया था और जिसके बारे में हम अगले लेख में विस्तार से बताएंगे। एसएसएल और टीएलएस इस हमले से सुरक्षित हैं, लेकिन निर्यात-ग्रेड क्रिप्टोग्राफी में छोटी कुंजियों के साथ मिलकर एसएसएल की कुछ यादृच्छिक विशेषताओं ने इसे संभव बना दिया है DROWN का एक विशिष्ट कार्यान्वयन.

प्रकाशन के समय, इंटरनेट की 25% शीर्ष साइटें DROWN भेद्यता से प्रभावित थीं, और यह हमला शरारती अकेले हैकरों के लिए भी उपलब्ध मामूली संसाधनों के साथ किया जा सकता था। सर्वर की आरएसए कुंजी को पुनः प्राप्त करने के लिए आठ घंटे की गणना और $440 की आवश्यकता थी, और एसएसएलवी2 अप्रचलित से रेडियोधर्मी में चला गया।

रुको, हार्टब्लीड के बारे में क्या?

ऊपर वर्णित अर्थ में यह कोई क्रिप्टोग्राफ़िक हमला नहीं है; यह एक बफर ओवरफ़्लो है.

चलो एक ब्रेक लेते है

हमने कुछ बुनियादी तकनीकों के साथ शुरुआत की: क्रूर बल, प्रक्षेप, डाउनग्रेडिंग, क्रॉस-प्रोटोकॉल और प्रीकंप्यूटेशन। फिर हमने एक उन्नत तकनीक को देखा, जो शायद आधुनिक क्रिप्टोग्राफ़िक हमलों का मुख्य घटक है: ओरेकल हमला। हमने इसका पता लगाने में काफी समय बिताया - और न केवल अंतर्निहित सिद्धांत को समझा, बल्कि दो विशिष्ट कार्यान्वयनों के तकनीकी विवरण भी समझे: सीबीसी एन्क्रिप्शन मोड पर वौडेने हमला और प्री-संपीड़न एन्क्रिप्शन प्रोटोकॉल पर केल्सी हमला।

डाउनग्रेड और प्रीकंप्यूटेशन हमलों की समीक्षा में, हमने संक्षेप में FREAK हमले की रूपरेखा तैयार की, जो लक्ष्य साइटों को कमजोर कुंजियों में डाउनग्रेड करके दोनों तरीकों का उपयोग करता है और फिर उन्हीं कुंजियों का पुन: उपयोग करता है। अगले लेख के लिए, हम (बहुत समान) लॉगजैम हमले को बचाएंगे, जो सार्वजनिक कुंजी एल्गोरिदम को लक्षित करता है।

फिर हमने इन सिद्धांतों के अनुप्रयोग के तीन और उदाहरण देखे। सबसे पहले, क्राइम और पूडल: दो हमले जो लक्ष्य प्लेनटेक्स्ट के बगल में मनमाने ढंग से प्लेनटेक्स्ट इंजेक्ट करने की हमलावर की क्षमता पर निर्भर थे, फिर सर्वर की प्रतिक्रियाओं की जांच करें और तो, ओरेकल आक्रमण पद्धति का उपयोग करते हुए, सादे पाठ को आंशिक रूप से पुनर्प्राप्त करने के लिए इस विरल जानकारी का उपयोग करें। CRIME ने SSL कम्प्रेशन पर केल्सी के हमले का मार्ग अपनाया, जबकि POODLE ने इसके बजाय उसी प्रभाव के साथ CBC पर वौडेने के हमले का एक प्रकार इस्तेमाल किया।

फिर हमने अपना ध्यान क्रॉस-प्रोटोकॉल DROWN हमले की ओर लगाया, जो पुराने SSLv2 प्रोटोकॉल का उपयोग करके सर्वर से कनेक्शन स्थापित करता है और फिर ब्लेइचेनबैकर हमले का उपयोग करके सर्वर की गुप्त कुंजियों को पुनर्प्राप्त करता है। हमने अभी इस हमले का तकनीकी विवरण छोड़ दिया है; लॉगजैम की तरह, इसे तब तक इंतजार करना होगा जब तक हमें सार्वजनिक कुंजी क्रिप्टोसिस्टम और उनकी कमजोरियों की अच्छी समझ न हो जाए।

अगले लेख में हम मीट-इन-द-मिडिल, डिफरेंशियल क्रिप्टोएनालिसिस और बर्थडे अटैक जैसे उन्नत हमलों के बारे में बात करेंगे। आइए साइड-चैनल हमलों पर एक त्वरित प्रयास करें, और फिर मामले के मूल बिंदु पर पहुंचें: सार्वजनिक कुंजी क्रिप्टोसिस्टम।

स्रोत: www.habr.com