Un gruppo di ricercatori dell'Università della California, San Diego, ha dimostrato la possibilità di ricostruire le chiavi RSA private di un server SSH utilizzando un'analisi passiva del traffico SSH. L'attacco può essere effettuato su server che, a causa di circostanze o azioni dell'attaccante, subiscono guasti durante il calcolo della firma digitale durante l'instaurazione della connessione SSH. I guasti possono essere sia software (esecuzione errata di operazioni matematiche, danneggiamento della memoria) che hardware (errori nel funzionamento di NVRAM e DRAM o guasti dovuti a interruzioni di corrente).
Una delle modalità per stimolare i guasti potrebbe essere rappresentata dagli attacchi di tipo RowHammer, che consentono, tra l'altro, di distorcere il contenuto di singoli bit di memoria durante la lettura intensiva e ciclica dei dati da celle di memoria adiacenti, sia da remoto che durante l'elaborazione di codice JavaScript nel browser. Un'altra modalità per generare guasti potrebbe derivare dallo sfruttamento di vulnerabilità che portano a overflow di buffer e danneggiamento dei dati contenenti le chiavi in memoria.
La ricerca pubblicata ha dimostrato che, utilizzando firme digitali basate sul algoritmo RSA in SSH, è possibile applicare attacchi per ricostruire le chiavi RSA private mediante il metodo Lattice (Fault Attack), nel caso si verifichino guasti software o hardware durante il processo di calcolo della firma. L'idea del metodo consiste nel confrontare firme digitali RSA corrette e difettose per determinare il massimo comune divisore di uno dei numeri primi utilizzati nella formazione della chiave.
Alla base della crittografia RSA c'è l'operazione di elevamento a potenza modulo un grande numero. La chiave pubblica contiene il modulo e l'esponente. Il modulo è formato da due numeri primi casuali, noti solo al proprietario della chiave privata. L'attacco può essere applicato alle implementazioni di RSA che utilizzano il Teorema Cinese dei Resti e schemi deterministici di padding, come PKCS#1 v1.5.
Per effettuare l'attacco è sufficiente monitorare passivamente le connessioni legittime al server SSH fino a individuare nel traffico una firma digitale difettosa, che può essere utilizzata come fonte di informazioni per ricostruire la chiave RSA privata. Dopo la ricostruzione della chiave RSA privata dell'host, l'attaccante può, durante un attacco MITM, reindirizzare silenziosamente le richieste a un host fasullo che si spaccia per un server SSH compromesso e organizzare l'intercettazione dei dati trasmessi. un server dei dati.
Nel corso dello studio di una collezione di dati di rete intercettati, comprendente circa 5.2 miliardi di record relativi all'uso del protocollo SSH, i ricercatori hanno identificato circa 3.2 miliardi di chiavi pubbliche e firme digitali utilizzate durante la negoziazione della sessione SSH. Di queste, 1.2 miliardi (39.1%) erano state generate utilizzando l'algoritmo RSA. In 593671 casi (0.048%) la firma RSA era danneggiata e non superava il controllo. Per 4962 firme difettose è stato possibile applicare il metodo di fattorizzazione Lattice per determinare la chiave privata a partire dalla chiave pubblica nota, il che ha portato alla ricostruzione di 189 coppie uniche di chiavi RSA (in molti casi per generare diverse firme difettose sono state utilizzate le stesse chiavi e dispositivi difettosi). Sono stati necessari circa 26 ore di tempo di CPU per la ricostruzione delle chiavi.
Il problema riguarda solo specifiche implementazioni del protocollo SSH, utilizzate principalmente su dispositivi embedded. Esempi di dispositivi con implementazioni problematiche di SSH includono prodotti di Zyxel, Cisco, Mocana e Hillstone Networks. OpenSSH non è vulnerabile, poiché utilizza per la generazione delle chiavi la libreria OpenSSL (o LibreSSL), nella quale la protezione contro attacchi di analisi dei guasti (Fault Attack) è presente dal 2001. Inoltre, in OpenSSH, lo schema di firme digitali ssh-rsa (basato su sha1) è stato dichiarato obsoleto e disabilitato nella versione 8.8 (continua a essere supportato lo schema rsa-sha2-256 e rsa-sha2-512). Potenzialmente l'attacco potrebbe essere applicabile anche al protocollo IPsec, ma i ricercatori non avevano dati sperimentali sufficienti per confermare tale attacco nella pratica.
Fonte: opennet.ru
