टीएलएस में भेद्यता डीएच सिफर के आधार पर कनेक्शन के लिए कुंजी निर्धारण की अनुमति देती है

खुलासा नये के बारे में जानकारी कमजोरियों (सीवीई-2020-1968) टीएलएस प्रोटोकॉल में, कोडनेम
एक प्रकार का जानवर और, दुर्लभ परिस्थितियों में, एक प्रारंभिक प्राथमिक कुंजी (प्री-मास्टर) निर्धारित करने की अनुमति देता है, जिसका उपयोग ट्रांजिट ट्रैफ़िक (एमआईटीएम) को रोकते समय HTTPS सहित टीएलएस कनेक्शन को डिक्रिप्ट करने के लिए किया जा सकता है। यह ध्यान दिया गया है कि हमला व्यावहारिक कार्यान्वयन के लिए बहुत कठिन है और सैद्धांतिक प्रकृति का है। किसी हमले को अंजाम देने के लिए, टीएलएस सर्वर के एक विशिष्ट कॉन्फ़िगरेशन और सर्वर प्रोसेसिंग समय को बहुत सटीक रूप से मापने की क्षमता की आवश्यकता होती है।

समस्या सीधे टीएलएस विनिर्देश में मौजूद है और केवल डीएच कुंजी एक्सचेंज प्रोटोकॉल (डिफी-हेलमैन, टीएलएस_डीएच_*") के आधार पर सिफर का उपयोग करके कनेक्शन को प्रभावित करती है। ECDH सिफर के साथ समस्या उत्पन्न नहीं होती और वे सुरक्षित रहते हैं। केवल संस्करण 1.2 तक के टीएलएस प्रोटोकॉल असुरक्षित हैं; टीएलएस 1.3 समस्या से प्रभावित नहीं है। भेद्यता टीएलएस कार्यान्वयन में होती है जो विभिन्न टीएलएस कनेक्शनों में डीएच गुप्त कुंजी का पुन: उपयोग करती है (यह व्यवहार लगभग 4.4% एलेक्सा टॉप 1एम सर्वर पर होता है)।

OpenSSL 1.0.2e और पहले के रिलीज़ में, DH प्राथमिक कुंजी का सभी सर्वर कनेक्शन में पुन: उपयोग किया जाता है जब तक कि SSL_OP_SINGLE_DH_USE विकल्प स्पष्ट रूप से सेट न हो। ओपनएसएसएल 1.0.2एफ के बाद से, डीएच प्राथमिक कुंजी का पुन: उपयोग केवल स्थिर डीएच सिफर ("डीएच-*", उदाहरण के लिए "डीएच-आरएसए-एईएस256-एसएचए") का उपयोग करते समय किया जाता है। ओपनएसएसएल 1.1.1 में भेद्यता प्रकट नहीं होती है, क्योंकि यह शाखा डीएच प्राथमिक कुंजी का उपयोग नहीं करती है और स्थिर डीएच सिफर का उपयोग नहीं करती है।

डीएच कुंजी विनिमय विधि का उपयोग करते समय, कनेक्शन के दोनों पक्ष यादृच्छिक निजी कुंजी (इसके बाद कुंजी "ए" और कुंजी "बी") उत्पन्न करते हैं, जिसके आधार पर सार्वजनिक कुंजी (जीए मॉड पी और जीबी मॉड पी) की गणना की जाती है और भेजी जाती है। प्रत्येक पार्टी को सार्वजनिक कुंजी प्राप्त होने के बाद, एक सामान्य प्राथमिक कुंजी (गैब मॉड पी) की गणना की जाती है, जिसका उपयोग सत्र कुंजी उत्पन्न करने के लिए किया जाता है। रैकोन हमला आपको साइड-चैनल विश्लेषण के माध्यम से प्राथमिक कुंजी निर्धारित करने की अनुमति देता है, इस तथ्य के आधार पर कि संस्करण 1.2 तक टीएलएस विनिर्देशों के लिए आवश्यक है कि प्राथमिक कुंजी के सभी प्रमुख शून्य बाइट्स को इसमें शामिल गणना से पहले छोड़ दिया जाए।

काटी गई प्राथमिक कुंजी को सत्र कुंजी जनरेशन फ़ंक्शन में पास किया जाता है, जो अलग-अलग डेटा को संसाधित करते समय अलग-अलग देरी के साथ हैश फ़ंक्शन पर आधारित होता है। सर्वर द्वारा किए गए कुंजी संचालन के समय को सटीक रूप से मापने से हमलावर को सुराग (ओरेकल) निर्धारित करने की अनुमति मिलती है जो यह निर्धारित करना संभव बनाता है कि प्राथमिक कुंजी खरोंच से शुरू होती है या नहीं। उदाहरण के लिए, एक हमलावर क्लाइंट द्वारा भेजी गई सार्वजनिक कुंजी (जीए) को रोक सकता है, इसे सर्वर पर पुनः भेज सकता है और निर्धारित कर सकता है
क्या परिणामी प्राथमिक कुंजी शून्य से प्रारंभ होती है।

अपने आप में, कुंजी के एक बाइट को परिभाषित करने से कुछ नहीं मिलता है, लेकिन कनेक्शन बातचीत के दौरान क्लाइंट द्वारा प्रेषित "गा" मान को रोककर, हमलावर "गा" से जुड़े अन्य मूल्यों का एक सेट उत्पन्न कर सकता है और उन्हें भेज सकता है अलग-अलग कनेक्शन वार्ता सत्रों में सर्वर। "ग्रि*गा" मान उत्पन्न और भेजकर, एक हमलावर, सर्वर प्रतिक्रिया में देरी में परिवर्तनों का विश्लेषण करके, उन मानों को निर्धारित कर सकता है जो शून्य से शुरू होने वाली प्राथमिक कुंजी प्राप्त करने की ओर ले जाते हैं। ऐसे मूल्यों को निर्धारित करने के बाद, हमलावर समीकरणों का एक सेट बना सकता है समाधान छिपी हुई संख्या समस्याएँ और मूल प्राथमिक कुंजी की गणना करें।

ओपनएसएसएल कमजोरियाँ सौंपा गया खतरे का निम्न स्तर, और रिलीज़ 1.0.2w में समस्याग्रस्त सिफर "TLS_DH_*" को अपर्याप्त स्तर की सुरक्षा ("कमजोर-एसएसएल-सिफर") वाले सिफर की श्रेणी में ले जाने के लिए फिक्स को कम कर दिया गया था, जो डिफ़ॉल्ट रूप से अक्षम है . मोज़िला डेवलपर्स ने भी यही किया, कामोत्तेजित फ़ायरफ़ॉक्स में प्रयुक्त एनएसएस लाइब्रेरी में, डीएच और डीएचई सिफर सुइट्स। फ़ायरफ़ॉक्स 78 के अनुसार, समस्याग्रस्त सिफर अक्षम हैं। डीएच के लिए क्रोम सपोर्ट 2016 में बंद कर दिया गया था। BearSSL, BoringSSL, Botan, Mbed TLS और s2n लाइब्रेरीज़ समस्या से प्रभावित नहीं हैं क्योंकि वे DH सिफर या DH सिफर के स्थिर वेरिएंट का समर्थन नहीं करते हैं।

अतिरिक्त समस्याएं अलग से नोट की गई हैं (CVE-2020-5929) F5 BIG-IP उपकरणों के TLS स्टैक में, हमले को और अधिक यथार्थवादी बनाता है। विशेष रूप से, प्राथमिक कुंजी की शुरुआत में शून्य बाइट की उपस्थिति में उपकरणों के व्यवहार में विचलन की पहचान की गई है, जिसका उपयोग गणना की सटीक विलंबता को मापने के बजाय किया जा सकता है।

स्रोत: opennet.ru