כשאתה שומע את המילה "קריפטוגרפיה", יש אנשים שזוכרים את סיסמת ה-WiFi שלהם, את המנעול הירוק ליד הכתובת של האתר המועדף עליהם, וכמה קשה להיכנס למייל של מישהו אחר. אחרים נזכרים בשורה של נקודות תורפה בשנים האחרונות עם קיצורים מספריים (DROWN, FREAK, POODLE...), לוגואים מסוגננים ואזהרה לעדכן בדחיפות את הדפדפן שלך.

קריפטוגרפיה מכסה הכל, אבל суть באחר. הנקודה היא שיש קו דק בין פשוט למורכב. יש דברים שקל לעשות, אבל קשה להרכיב אותם בחזרה, כמו לשבור ביצה. דברים אחרים קל לעשות אבל קשה לחזור כשחסר חלק קטן, חשוב ומכריע: למשל פתיחת דלת נעולה כאשר "החלק המכריע" הוא המפתח. קריפטוגרפיה חוקרת מצבים אלו וכיצד ניתן להשתמש בהם בפועל.

בשנים האחרונות הפך אוסף התקפות ההצפנה לגן חיות של לוגואים נוצצים, מלאים בנוסחאות ממאמרים מדעיים, והוליד תחושה כללית קודרת שהכל שבור. אבל למעשה, רבות מההתקפות מבוססות על כמה עקרונות כלליים, ודפים אינסופיים של נוסחאות מתמצים לרוב לרעיונות קלים להבנה.

בסדרת מאמרים זו נבחן את הסוגים השונים של התקפות קריפטוגרפיות, תוך שימת דגש על העקרונות הבסיסיים. במונחים כלליים ולא בדיוק לפי הסדר הזה, אבל נעסוק בדברים הבאים:

• אסטרטגיות בסיסיות: כוח גס, ניתוח תדרים, אינטרפולציה, שדרוג לאחור והצלבות פרוטוקולים.
• נקודות תורפה ממותגות: פריק, פשע, פודל, לטבוע, לוגם.
• אסטרטגיות מתקדמות: התקפות אורקל (התקפת וודנט, התקפת קלסי); שיטת מפגש באמצע, התקפת יום הולדת, הטיה סטטיסטית (ניתוח קריפטה דיפרנציאלי, אנליזה אינטגרלית של קריפטה וכו').
• התקפות ערוץ צדדי וקרוביהם הקרובים, טכניקות ניתוח כשל.
• התקפות על קריפטוגרפיה של מפתח ציבורי: שורש קובייה, שידור, הודעה קשורה, התקפת Coppersmith, אלגוריתם פוליג-הלמן, מסננת מספרים, התקפת ווינר, התקפת בליכנבאכר.

המאמר הספציפי הזה מכסה את החומר לעיל עד להתקפה של קלסי.

אסטרטגיות בסיסיות

ההתקפות הבאות פשוטות במובן זה שניתן להסביר אותן כמעט לחלוטין ללא פירוט טכני רב. בואו נסביר כל סוג של התקפה במונחים הפשוטים ביותר, מבלי להיכנס לדוגמאות מורכבות או למקרי שימוש מתקדמים.

חלק מהתקפות אלו התיישנו במידה רבה ולא נעשה בהן שימוש במשך שנים רבות. אחרים הם ותיקים שעדיין מתגנבים בקביעות למפתחי מערכות קריפטו תמימים במאה ה-21. ניתן להתייחס לעידן ההצפנה המודרני שהחל עם הופעתו של IBM DES, הצופן הראשון שעמד בכל ההתקפות ברשימה זו.

כוח גס פשוט

סכימת ההצפנה מורכבת משני חלקים: 1) פונקציית ההצפנה, שלוקחת הודעה (טקסט רגיל) בשילוב מפתח, ולאחר מכן יוצרת הודעה מוצפנת - טקסט צופן; 2) פונקציית פענוח שלוקחת את טקסט ההצפנה והמפתח ומייצרת טקסט רגיל. גם הצפנה וגם פענוח חייבים להיות קלים לחישוב עם המפתח - וקשה לחשב בלעדיו.

הבה נניח שאנו רואים את טקסט ההצפנה וננסה לפענח אותו ללא כל מידע נוסף (זה נקרא התקפה של טקסט צופן בלבד). אם איכשהו נמצא באורח קסם את המפתח הנכון, נוכל בקלות לוודא שהוא אכן נכון אם התוצאה היא הודעה סבירה.

שימו לב שיש כאן שתי הנחות מרומזות. ראשית, אנו יודעים כיצד לבצע פענוח, כלומר כיצד פועלת מערכת ההצפנה. זוהי הנחה סטנדרטית כאשר דנים בהצפנה. הסתרת פרטי היישום של הצופן מפני התוקפים עשויה להיראות כאמצעי אבטחה נוסף, אך ברגע שהתוקף מבין את הפרטים הללו, אבטחה נוספת זו אובדת בשקט ובלתי הפיך. זה איך עקרון קרצ'הוף: המערכת שנופלת לידי האויב לא צריכה לגרום אי נוחות.

שנית, אנו מניחים שהמפתח הנכון הוא המפתח היחיד שיוביל לפענוח סביר. גם זו הנחה סבירה; הוא מרוצה אם טקסט ההצפנה ארוך בהרבה מהמפתח וניתן לקריאה. זה בדרך כלל מה שקורה בעולם האמיתי, למעט מפתחות ענק לא מעשיים או קשקושים אחרים שעדיף להשאיר בצד (אם זה לא מוצא חן בעיניך, דילגנו על ההסבר, אנא עיין במשפט 3.8 כאן).

בהתחשב באמור לעיל, נוצרת אסטרטגיה: בדוק כל מפתח אפשרי. זה נקרא כוח גס, ומתקפה כזו מובטחת תפעל נגד כל הצפנים המעשיים - בסופו של דבר. לדוגמה, מספיק כוח גס כדי לפרוץ צופן קיסר, צופן עתיק שבו המפתח הוא אות אחת באלפבית, מרמז על קצת יותר מ-20 מפתחות אפשריים.

לרוע המזל עבור מנתחי קריפטה, הגדלת גודל המפתח היא הגנה טובה מפני כוח גס. ככל שגודל המפתח גדל, מספר המפתחות האפשריים גדל באופן אקספוננציאלי. עם גדלי מפתח מודרניים, כוח גס פשוט אינו מעשי לחלוטין. כדי להבין למה אנחנו מתכוונים, ניקח את מחשב העל הידוע המהיר ביותר נכון לאמצע 2019: פסגה מ-IBM, עם ביצועי שיא של כ-1017 פעולות בשנייה. כיום, אורך המפתח הטיפוסי הוא 128 סיביות, כלומר 2128 שילובים אפשריים. כדי לחפש את כל המקשים, מחשב העל Summit יזדקק לזמן שהוא בערך פי 7800 מגיל היקום.

האם כוח גס צריך להיחשב קוריוז היסטורי? בכלל לא: זה מרכיב הכרחי בספר הבישול של ההצפנה. רק לעתים נדירות הצפנים חלשים עד כדי כך שניתן לשבור אותם רק בהתקפה חכמה, ללא שימוש בכוח במידה זו או אחרת. פריצות מוצלחות רבות משתמשות בשיטה אלגוריתמית כדי להחליש תחילה את צופן המטרה, ולאחר מכן לבצע התקפת כוח גס.

ניתוח תדרים

רוב הטקסטים אינם ג'יבריש. לדוגמה, בטקסטים באנגלית יש הרבה אותיות 'ה' ומאמרים 'ה'; בקבצים בינאריים, ישנם אפס בתים רבים כריפוד בין פיסות מידע. ניתוח תדרים הוא כל התקפה שמנצלת עובדה זו.

הדוגמה הקנונית לצופן הפגיע להתקפה זו היא צופן ההחלפה הפשוט. בצופן זה, המפתח הוא טבלה עם כל האותיות מוחלפות. לדוגמה, 'g' מוחלף ב-'h', 'o' ב-j, כך שהמילה 'go' הופכת ל-hj'. הצופן הזה קשה לכוח גס כי יש כל כך הרבה טבלאות חיפוש אפשריות. אם אתה מעוניין במתמטיקה, אורך המפתח האפקטיבי הוא בערך 88 סיביות: זהו
. אבל ניתוח תדרים בדרך כלל עושה את העבודה במהירות.

שקול את טקסט ההצפנה הבא מעובד עם צופן החלפה פשוט:

XDYLY ALY UGLY XDWNKE WN DYAJYN ANF YALXD DGLAXWG XDAN ALY FLYAUX GR WN OGQL ZDWBGEGZDO

מאז Y מופיע לעתים קרובות, כולל בסוף מילים רבות, אנו יכולים להניח בהיסוס שזו האות e:

XDeLe ALe UGLe XDWNKE WN DeAJeN ANF eALXD DGLAXWG XDAN ALE FLeAUX GR WN OGQL ZDWBGEGZDO

זוג XD חוזר על עצמו בתחילת מספר מילים. בפרט, השילוב XDeLe מציע בבירור את המילה these או there, אז בואו נמשיך:

theLe ale UGLe thWNKE WN heAJeN ANF eALth DGLAtWG מאשר ALE FLeAUt GR WN OGQL ZDWBGEGZDO

הבה נניח זאת עוד יותר L מתאים r, A - a וכולי. זה כנראה ייקח כמה ניסיונות, אבל בהשוואה להתקפת כוח גס מלא, מתקפה זו משחזרת את הטקסט המקורי תוך זמן קצר:

יש יותר דברים בגן עדן ובארץ ממה שחולמים עליהם בפילוסופיה שלך

עבור חלק, פתרון "קריפטוגרמות" כאלה הוא תחביב מרגש.

הרעיון של ניתוח תדרים הוא בסיסי יותר ממה שהוא נראה במבט ראשון. וזה חל על צפנים מורכבים הרבה יותר. לאורך ההיסטוריה, עיצובי צופן שונים ניסו להתמודד עם מתקפה כזו באמצעות "החלפה פולי-אלפביתית". כאן, במהלך תהליך ההצפנה, טבלת החלפת האותיות משתנה בדרכים מורכבות אך צפויות שתלויות במפתח. כל הצפנים הללו נחשבו קשים לפריצה בבת אחת; ובכל זאת ניתוח תדרים צנוע הביס בסופו של דבר את כולם.

הצופן הפול-אלפביתי השאפתני ביותר בהיסטוריה, וכנראה המפורסם ביותר, היה צופן האניגמה של מלחמת העולם השנייה. זה היה מורכב יחסית לקודמיו, אבל אחרי הרבה עבודה קשה, אנליטיקאי קריפטה בריטיים פיצחו אותו באמצעות ניתוח תדרים. כמובן, הם לא יכלו לפתח התקפה אלגנטית כמו זו שהוצגה למעלה; הם נאלצו להשוות צמדים ידועים של טקסט רגיל וטקסט צופן (מה שמכונה "התקפת טקסט רגיל"), ואף לעורר את משתמשי אניגמה להצפין הודעות מסוימות ולנתח את התוצאה ("התקפת הטקסט הפשוט הנבחר"). אבל זה לא הקל על גורלם של צבאות האויב המובסים והצוללות הטבועות.

לאחר הניצחון הזה, ניתוח התדרים נעלם מההיסטוריה של ניתוח הצפנה. הצפנים בעידן הדיגיטלי המודרני נועדו לעבוד עם ביטים, לא אותיות. חשוב מכך, הצפנים הללו עוצבו מתוך ההבנה האפלה של מה שנודע מאוחר יותר חוק שנייר: כל אחד יכול ליצור אלגוריתם הצפנה שהוא עצמו לא יכול לשבור. זה לא מספיק למערכת ההצפנה נראה קשה: כדי להוכיח את ערכו, עליו לעבור סקירת אבטחה חסרת רחמים על ידי אנליטיקאים רבים של קריפטה שיעשו כמיטב יכולתם לפצח את הצופן.

חישובים ראשוניים

קח את העיר ההיפותטית Precom Heights, אוכלוסייה של 200. כל בית בעיר מכיל חפצי ערך של 000 דולר בממוצע, אך בשווי של לא יותר מ-30 דולר. שוק האבטחה ב-Precom הוא מונופול על ידי ACME Industries, המייצרת את מנעולי הדלת האגדיים מסוג Coyote™. לפי ניתוח מומחה, מנעול מסוג Coyote יכול להישבר רק על ידי מכונה היפותטית מורכבת מאוד, שיצירתה דורשת כחמש שנים והשקעה של 000 דולר. האם העיר בטוחה?

סביר להניח שלא. בסופו של דבר יופיע פושע שאפתני למדי. הוא ינמק כך: "כן, אני אשא בעלויות גדולות מראש. חמש שנים של המתנה סבלנית ו-$50. אבל כשאסיים, תהיה לי גישה ל- כל העושר של העיר הזאת. אם אשחק נכון בקלפים, ההשקעה הזו תחזיר את עצמה פי כמה".

הדבר נכון גם בקריפטוגרפיה. התקפות נגד צופן מסוים כפופות לניתוח עלות-תועלת חסר רחמים. אם היחס חיובי, ההתקפה לא תתרחש. אבל התקפות שפועלות נגד קורבנות פוטנציאליים רבים בבת אחת כמעט תמיד משתלמות, ובמקרה זה שיטות התכנון הטובות ביותר היא להניח שהן התחילו מהיום הראשון. יש לנו בעצם גרסה קריפטוגרפית של חוק מרפי: "כל מה שבאמת יכול לשבור את המערכת ישבור את המערכת."

הדוגמה הפשוטה ביותר למערכת קריפטו שפגיעה להתקפה מראש היא צופן ללא מפתח קבוע. זה היה המקרה עם הצופן של קיסר, שפשוט מעביר כל אות באלפבית שלוש אותיות קדימה (הטבלה בלולאה, כך שהאות האחרונה באלפבית מוצפנת שלישית). כאן שוב נכנס לתמונה עקרון Kerchhoffs: ברגע שמערכת נפרצה, היא נפרצה לנצח.

הקונספט פשוט. אפילו מפתח מערכות קריפטו מתחיל כנראה יזהה את האיום ויתכונן בהתאם. כשמסתכלים על התפתחות ההצפנה, התקפות כאלה לא היו מתאימות לרוב הצפנים, מהגרסאות המשופרות הראשונות של צופן הקיסר ועד לירידת הצפנים הפול-אלפביתיים. התקפות כאלה חזרו רק עם כניסתו של העידן המודרני של ההצפנה.

ההחזר הזה נובע משני גורמים. ראשית, סוף סוף הופיעו מערכות קריפטו מורכבות מספיק, שבהן האפשרות לניצול לאחר פריצה לא הייתה ברורה. שנית, ההצפנה נפוצה כל כך עד שמיליוני הדיוטות קיבלו החלטות בכל יום לגבי היכן ובאילו חלקים של ההצפנה להשתמש מחדש. לקח זמן מה עד שהמומחים הבינו את הסיכונים והפעילו אזעקה.

זכרו את מתקפת החישוב המקדים: בסוף המאמר נסתכל על שתי דוגמאות קריפטוגרפיות מהחיים האמיתיים שבהן היא מילאה תפקיד חשוב.

אינטרפולציה

הנה הבלש המפורסם שרלוק הולמס, מבצע מתקפת אינטרפולציה על ד"ר ווטסון האומלל:

מיד ניחשתי שבאת מאפגניסטן... הלך המחשבה שלי היה כזה: "האיש הזה הוא רופא לפי סוג, אבל יש לו יחס צבאי. אז, רופא צבאי. הוא בדיוק הגיע מהאזורים הטרופיים - פניו כהות, אבל זה לא הגוון הטבעי של עורו, שכן פרקי הידיים שלו לבנים הרבה יותר. הפנים קשות - ברור שהוא סבל הרבה וסבל ממחלה. הוא נפצע בידו השמאלית - הוא אוחז בה ללא ניע וקצת לא טבעי. היכן באזורים הטרופיים יכול היה רופא צבאי אנגלי לסבול קשיים ולהיפצע? כמובן, באפגניסטן". כל הלך המחשבה לא ארך אפילו שנייה. אז אמרתי שבאת מאפגניסטן, והופתעת.

הולמס יכול היה לחלץ מעט מאוד מידע מכל ראיה בנפרד. הוא יכול היה להגיע למסקנה רק על ידי התחשבות בכולם יחד. התקפת אינטרפולציה פועלת באופן דומה על ידי בחינת צמדי טקסט רגיל וטקסט צופן ידועים הנובעים מאותו מפתח. מכל זוג נשלפות תצפיות בודדות המאפשרות להסיק מסקנה כללית לגבי המפתח. כל המסקנות הללו מעורפלות ונראות חסרות תועלת עד שהן מגיעות לפתע למסה קריטית ומובילות למסקנה היחידה האפשרית: לא משנה כמה זה מדהים, זה חייב להיות נכון. לאחר מכן, או שהמפתח נחשף, או שתהליך הפענוח הופך להיות כל כך מעודן שניתן לשכפל אותו.

בואו נמחיש בעזרת דוגמה פשוטה כיצד פועלת האינטרפולציה. נניח שאנחנו רוצים לקרוא את יומנו האישי של האויב שלנו, בוב. הוא מצפין כל מספר ביומנו באמצעות מערכת קריפטו פשוטה שעליה למד ממודעה במגזין "לעג לקריפטוגרפיה". המערכת פועלת כך: בוב בוחר שני מספרים שהוא אוהב: и . מעכשיו, להצפין כל מספר , זה מחושב . לדוגמה, אם בוב בחר и , ואז המספר יוצפן כ .

נניח שב-28 בדצמבר שמנו לב שבוב שורט משהו ביומן שלו. כשהוא יסיים, נאסוף אותו בשקט ונצפה בערך האחרון:

Дата: 235/520

יומני היקר,

היום היה יום טוב. דרך 64 היום יש לי דייט עם אליסה, שגרה בדירה 843. אני באמת חושב שאולי היא 26!

מכיוון שאנחנו מאוד רציניים לגבי המעקב אחרי בוב בדייט שלו (שנינו בני 15 בתרחיש הזה), זה קריטי לדעת את התאריך וגם את כתובתה של אליס. למרבה המזל, אנו מבחינים שמערכת ההצפנה של בוב חשופה להתקפת אינטרפולציה. אולי אנחנו לא יודעים и , אבל אנחנו יודעים את התאריך של היום, אז יש לנו שני זוגות טקסט פשוט-צופן. כלומר, אנחנו יודעים את זה מוצפן פנימה ו - - פנימה . זה מה שנכתוב:

מכיוון שאנחנו בני 15, אנחנו כבר יודעים על מערכת של שתי משוואות עם שני לא ידועים, שבמצב זה מספיק כדי למצוא и בלי שום בעיות. כל זוג טקסט פשוט-צופן מציב אילוץ על המפתח של בוב, ושני האילוצים יחד מספיקים כדי לשחזר את המפתח לחלוטין. בדוגמה שלנו התשובה היא и (בְּ אז זה 26 ביומן מתאים למילה 'האחד', כלומר "אותו אחד" - בערך. נתיב).

התקפות אינטרפולציה אינן מוגבלות, כמובן, לדוגמאות פשוטות כאלה. כל מערכת קריפטו שמצמצמת לאובייקט מתמטי מובן היטב ולרשימה של פרמטרים נמצאת בסיכון להתקפת אינטרפולציה - ככל שהאובייקט מובן יותר, כך הסיכון גבוה יותר.

עולים חדשים מתלוננים לעתים קרובות שהקריפטוגרפיה היא "האמנות לעצב דברים מכוערים ככל האפשר". התקפות אינטרפולציה כנראה אשמות במידה רבה. בוב יכול להשתמש בעיצוב מתמטי אלגנטי או לשמור על הדייט שלו עם אליס פרטי - אבל למרבה הצער, אתה בדרך כלל לא יכול לעשות את זה לשני הכיוונים. זה יתברר בשפע כשנגיע בסופו של דבר לנושא הצפנת מפתח ציבורי.

פרוטוקול חוצה/שדרוג לאחור

ב- Now You See Me (2013), קבוצה של אשליות מנסה להונות את איל הביטוח המושחת ארתור טרסלר מכל הונו. כדי לקבל גישה לחשבון הבנק של ארתור, על חוקרי האשליות לספק את שם המשתמש והסיסמה שלו או לאלץ אותו להופיע באופן אישי בבנק ולקחת חלק בתוכנית.

שתי האפשרויות קשות מאוד; החבר'ה רגילים להופיע על הבמה, ולא להשתתף במבצעי מודיעין. אז הם בוחרים באפשרות השלישית האפשרית: שותפם מתקשר לבנק ומעמיד פנים שהוא ארתור. הבנק שואל מספר שאלות לאימות זהות, כמו שם הדוד ושם חיית המחמד הראשונה; הגיבורים שלנו מראש הם מחלצים בקלות את המידע הזה מארתור באמצעות הנדסה חברתית חכמה. מנקודה זו ואילך, אבטחת סיסמאות מעולה כבר לא משנה.

(לפי אגדה אורבנית שאימתנו ואימתנו באופן אישי, הקריפטוגרף אלי ביהם נתקל פעם בפקיד בנק שהתעקש להגדיר שאלת אבטחה. כאשר המספר שאל את שמה של סבתו מצד אמו, ביהם החל להכתיב: "בירה איקס, קטן y, שלוש... ").

זה אותו דבר בקריפטוגרפיה, אם משתמשים בשני פרוטוקולים קריפטוגרפיים במקביל כדי להגן על אותו נכס, ואחד חלש הרבה יותר מהשני. המערכת המתקבלת הופכת פגיעה להתקפה צולבת פרוטוקולים, כאשר פרוטוקול חלש יותר מותקף על מנת להגיע לפרס מבלי לגעת בחזק.

בחלק מהמקרים המורכבים, לא מספיק ליצור קשר עם השרת באמצעות פרוטוקול חלש יותר, אלא מצריך השתתפות בלתי רצונית של לקוח לגיטימי. ניתן לארגן זאת באמצעות מה שנקרא התקפת שדרוג לאחור. כדי להבין את ההתקפה הזו, נניח שלאשליותינו יש משימה קשה יותר מאשר בסרט. הבה נניח שעובד בנק (קופאי) וארתור נתקלו בכמה נסיבות בלתי צפויות, שהובילו לדיאלוג הבא:

פּוֹרֵץ: שלום? זה ארתור טרסלר. אני רוצה לאפס את הסיסמה שלי.

קופאית: גדול. אנא עיין בספר הקודים הסודי האישי שלך, עמוד 28, מילה 3. כל ההודעות הבאות יוצפנו באמצעות המילה הספציפית הזו כמפתח. PQJGH. LOTJNAM PGGY MXVRL ZZLQ SRIU HHNMLPPPV...

פּוֹרֵץ: היי, היי, רגע, רגע. האם זה באמת נחוץ? אנחנו לא יכולים פשוט לדבר כמו אנשים רגילים?

קופאית: אני לא ממליץ לעשות את זה.

פּוֹרֵץ: אני פשוט... תראה, היה לי יום עלוב, בסדר? אני לקוח VIP ואין לי מצב רוח לחפור בספרי הקוד המטופשים האלה.

קופאית: בסדר גמור. אם אתה מתעקש, מר טרסלר. מה אתה רוצה?

פּוֹרֵץ: בבקשה, אני רוצה לתרום את כל כספי לקרן הקורבנות הלאומית של ארתור טרסלר.

(הַפסָקָה).

קופאית: האם זה ברור עכשיו. אנא ספק את ה-PIN שלך עבור עסקאות גדולות.

פּוֹרֵץ: המה שלי?

קופאית: לבקשתך האישית, עסקאות בגודל זה דורשות PIN עבור עסקאות גדולות. קוד זה ניתן לך כשפתחת את חשבונך.

פּוֹרֵץ:... איבדתי את זה. האם זה באמת נחוץ? אתה לא יכול פשוט לאשר את העסקה?

קופאית: לא. אני מצטער, מר טרסלר. שוב, זה אמצעי האבטחה שביקשת. אם תרצה, נוכל לשלוח קוד PIN חדש לתיבת הדואר שלך.

הגיבורים שלנו דוחים את המבצע. הם מצותתים לכמה מהעסקאות הגדולות של טרסלר, בתקווה לשמוע את ה-PIN; אבל בכל פעם שהשיחה הופכת לג'יבריש מקודד לפני שנאמר משהו מעניין. לבסוף, יום בהיר אחד, התוכנית יוצאת לפועל. הם מחכים בסבלנות לרגע שבו טרסלר יצטרך לבצע עסקה גדולה בטלפון, הוא עולה על הקו, ואז...

טרסלר: שלום. ברצוני להשלים עסקה מרחוק, בבקשה.

קופאית: גדול. אנא עיין בספר הקודים הסודי האישי שלך, עמוד...

(הפורץ לוחץ על הכפתור; קולה של הקופאית הופך לרעש לא מובן).

קופאית: - #@$#@$#*@$$@#* יוצפן עם מילה זו כמפתח. AAAYRR PLRQRZ MMNJK LOJBAN...

טרסלר: סליחה, לא כל כך הבנתי. שוב? באיזה עמוד? מה המילה?

קופאית: זה הדף @#$@#*$)#*#@()#@$(#@*$(#@*.

טרסלר: מה?

קופאית: מילה מספר עשרים @$#@$#%#$.

טרסלר: ברצינות! מספיק כבר! אתה ופרוטוקול האבטחה שלך הם סוג של קרקס. אני יודע שאתה יכול פשוט לדבר איתי כרגיל.

קופאית: אני לא ממליץ…

טרסלר: ואני לא ממליץ לך לבזבז את הזמן שלי. אני לא רוצה לשמוע יותר על זה עד שתתקן את בעיות קו הטלפון שלך. האם נוכל לסיים את העסקה הזו או לא?

קופאית:… כן. בסדר גמור. מה אתה רוצה?

טרסלר: ברצוני להעביר 20$ ל-Lord Business Investments, מספר חשבון...

קופאית: דקה אחת בבקשה. זה עסקה גדולה. אנא ספק את ה-PIN שלך עבור עסקאות גדולות.

טרסלר: מה? אה, בדיוק. 1234.

הנה התקפה כלפי מטה. הפרוטוקול החלש יותר "פשוט דבר ישירות" נחזה בתור אוֹפְּצִיָה במקרה חירום. ובכל זאת אנחנו כאן.

אתם עשויים לתהות מי בשכלו יתכנן מערכת אמיתית של "כספת עד שנשאל אחרת" כמו זו שתוארה לעיל. אבל בדיוק כפי שבנק בדיוני לוקח סיכונים כדי לשמור על לקוחות שאינם אוהבים קריפטוגרפיה, מערכות באופן כללי נמשכות לרוב לדרישות אדישות או אפילו עוינות ממש לאבטחה.

זה בדיוק מה שקרה עם פרוטוקול SSLv2 ב-1995. ממשלת ארה"ב החלה כבר מזמן לראות בקריפטוגרפיה נשק שעדיף להרחיק מאויבים זרים ומפנים. פיסות קוד אושרו בנפרד לייצוא מארצות הברית, לרוב בתנאי שהאלגוריתם נחלש בכוונה. Netscape, מפתחת הדפדפן הפופולרי ביותר, Netscape Navigator, קיבלה הרשאה ל-SSLv2 רק עם מפתח 512-bit RSA הפגיע מטבעו (ו-40-bit עבור RC4).

עד סוף המילניום, הכללים נרגעו והגישה להצפנה מודרנית הפכה זמינה רחבה. עם זאת, לקוחות ושרתים תמכו בקריפטוגרפיה "ייצוא" מוחלשת במשך שנים בשל אותה אינרציה השומרת על תמיכה בכל מערכת מדור קודם. לקוחות האמינו שהם עלולים להיתקל בשרת שאינו תומך בשום דבר אחר. השרתים עשו את אותו הדבר. כמובן, פרוטוקול ה-SSL מכתיב שלקוחות ושרתים לעולם לא צריכים להשתמש בפרוטוקול חלש כאשר זמין טוב יותר. אבל אותה הנחה חלה על טרסלר והבנק שלו.

תיאוריה זו מצאה את דרכה לשתי התקפות בעלות פרופיל גבוה שזעזעו את האבטחה של פרוטוקול SSL ב-2015, שתיהן התגלו על ידי חוקרי מיקרוסופט והן INRIA. ראשית, פרטים על מתקפת FREAK נחשפו בפברואר, ואחריה שלושה חודשים לאחר מכן על ידי מתקפה דומה נוספת בשם Logjam, עליה נדון ביתר פירוט כשנעבור להתקפות על קריפטוגרפיה של מפתח ציבורי.

פגיעות פריק (הידוע גם בשם "Smack TLS") התגלה כאשר חוקרים ניתחו יישומי לקוח/שרת TLS וגילו באג מוזר. בהטמעות אלו, אם הלקוח אפילו לא מבקש להשתמש בקריפטוגרפיה חלשה של יצוא, אבל השרת עדיין מגיב עם מפתחות כאלה, הלקוח אומר "נו טוב" ועובר לחבילת צופן חלשה.

בזמנו, קריפטוגרפיה לייצוא נחשבה למיושנת ולא מוגבלת, כך שהמתקפה הגיעה כהלם מוחלט והשפיעה על תחומים חשובים רבים, כולל הבית הלבן, מס הכנסה ואתרי ה-NSA. גרוע מכך, מסתבר ששרתים פגיעים רבים ביצעו אופטימיזציה של ביצועים על ידי שימוש חוזר באותם מפתחות במקום ליצור מפתחות חדשים לכל הפעלה. זה איפשר, לאחר שדרוג לאחור של הפרוטוקול, לבצע מתקפת קדם-חישוב: פיצוח מפתח אחד נשאר יקר יחסית (100 דולר ו-12 שעות בזמן הפרסום), אך העלות המעשית של תקיפת החיבור הופחתה משמעותית. מספיק לבחור את מפתח השרת פעם אחת ולפצח את ההצפנה עבור כל החיבורים הבאים מאותו רגע ואילך.

ולפני שנמשיך, יש מתקפה אחת מתקדמת שצריך להזכיר...

מתקפת אורקל

מוקסי מרלינספיק הידוע בעיקר כאבי אפליקציית הודעות ההצפנה חוצת הפלטפורמות Signal; אבל אנחנו באופן אישי אוהבים את אחד החידושים הפחות מוכרים שלו - עקרון אבדון קריפטוגרפי (עקרון אבדון קריפטוגרפי). בפרפראזה קלה, אנו יכולים לומר זאת: "אם הפרוטוקול מבצע כל מבצע פעולה קריפטוגרפית בהודעה ממקור שעלול להיות זדוני ומתנהג אחרת בהתאם לתוצאה, זה נידון". או בצורה חדה יותר: "אל תיקח מידע מהאויב לעיבוד, ואם אתה צריך, אז לפחות אל תראה את התוצאה."

נעזוב בצד הצפות חיץ, זריקות פקודות וכדומה; הם מעבר לתחום הדיון הזה. הפרה של "עקרון האבדון" מובילה לפריצות קריפטוגרפיה חמורות בשל העובדה שהפרוטוקול מתנהג בדיוק כמצופה.

כדוגמה, בואו ניקח עיצוב פיקטיבי עם צופן החלפה פגיע, ולאחר מכן נדגים התקפה אפשרית. אמנם כבר ראינו התקפה על צופן החלפה באמצעות ניתוח תדרים, אבל זו לא רק "דרך נוספת לשבור את אותו צופן". להיפך, התקפות אורקל הן המצאה מודרנית הרבה יותר, החלה על מצבים רבים שבהם ניתוח התדרים נכשל, ונראה הדגמה לכך בסעיף הבא. כאן הצופן הפשוט נבחר רק כדי להבהיר את הדוגמה.

אז אליס ובוב מתקשרים באמצעות צופן החלפה פשוט באמצעות מפתח המוכר רק להם. הם מקפידים מאוד על אורך ההודעות: אורך 20 תווים בדיוק. אז הם הסכימו שאם מישהו רוצה לשלוח הודעה קצרה יותר, הוא צריך להוסיף טקסט דמה לסוף ההודעה כדי שתהיה בדיוק 20 תווים. לאחר דיון מסוים, הם החליטו שהם יקבלו רק את הטקסטים הדמים הבאים: a, bb, ccc, dddd וכדומה. כך, ידוע טקסט דמה בכל אורך נדרש.

כאשר אליס או בוב מקבלים הודעה, הם בודקים תחילה שההודעה באורך הנכון (20 תווים) ושהסיומת היא טקסט הדמה הנכון. אם זה לא המקרה, אז הם מגיבים עם הודעת שגיאה מתאימה. אם אורך הטקסט וטקסט הדמה בסדר, הנמען קורא את ההודעה בעצמו ושולח תגובה מוצפנת.

במהלך המתקפה, התוקף מתחזה לבוב ושולח הודעות מזויפות לאליס. ההודעות הן שטויות מוחלטות - לתוקף אין את המפתח, ולכן אינו יכול לזייף מסר משמעותי. אבל מכיוון שהפרוטוקול מפר את עקרון האבדון, תוקף עדיין יכול ללכוד את אליס לחשוף את המידע המרכזי, כפי שמוצג להלן.

פּוֹרֵץ: PREWF ZHJKL MMMN. LA

אליס: טקסט דמה לא חוקי.

פּוֹרֵץ: PREWF ZHJKL MMMN. LB

אליס: טקסט דמה לא חוקי.

פּוֹרֵץ: PREWF ZHJKL MMMN. LC

אליס: ILCT? TLCT RUWO PUT KCAW CPS OWPOW!

לפורץ אין מושג מה אליס אמרה הרגע, אבל מציין שהסמל C חייב להתאים a, מאז שאליס קיבלה את טקסט הדמה.

פּוֹרֵץ: REWF ZHJKL MMMN. LAA

אליס: טקסט דמה לא חוקי.

פּוֹרֵץ: REWF ZHJKL MMMN. LBB

אליס: טקסט דמה לא חוקי.

לאחר מספר ניסיונות...

פּוֹרֵץ: REWF ZHJKL MMMN. LGG

אליס: טקסט דמה לא חוקי.

פּוֹרֵץ: REWF ZHJKL MMMN. LHH

אליס: TLQO JWCRO FQAW SUY LCR C OWQXYJW. IW PWWR TU TCFA CHUYT TLQO JWFCTQUPOLQZ.

שוב, לתוקף אין מושג מה אליס אמרה זה עתה, אבל מציין ש-H חייב להתאים ל-b מכיוון שאליס קיבלה את טקסט הדמה.

וכך הלאה עד שהתוקף יודע את המשמעות של כל דמות.

במבט ראשון, השיטה דומה למתקפת טקסט פשוט נבחרת. בסופו של דבר, התוקף בוחר את הטקסטים המוצפנים, והשרת מעבד אותם בצייתנות. ההבדל העיקרי שהופך את ההתקפות הללו לבעלות קיימא בעולם האמיתי הוא שהתוקף אינו זקוק לגישה לתמלול בפועל - מספיקה תגובת שרת, אפילו תמימה כמו "טקסט דמה לא חוקי".

למרות שהמתקפה הספציפית הזו מאלפת, אל תתלה יותר מדי בפרטים של סכימת "הטקסט הדמה", מערכת ההצפנה הספציפית שבה נעשה שימוש או רצף ההודעות המדויק שנשלח על ידי התוקף. הרעיון הבסיסי הוא כיצד אליס מגיבה אחרת על סמך מאפייני הטקסט הפשוט, ועושה זאת מבלי לוודא שהטקסט המוצפן המתאים אכן הגיע מגורם מהימן. לפיכך, אליס מאפשרת לתוקף לסחוט מידע סודי מתשובותיה.

יש הרבה שאפשר לשנות בתרחיש הזה. הסמלים שאליס מגיבה אליהם, או עצם ההבדל בהתנהגותה, או אפילו מערכת ההצפנה שבה נעשה שימוש. אבל העיקרון יישאר זהה, וההתקפה בכללותה תישאר בת קיימא בצורה כזו או אחרת. היישום הבסיסי של מתקפה זו עזר לחשוף כמה באגי אבטחה, אותם נסתכל בקרוב; אבל קודם יש כמה לקחים תיאורטיים שצריך ללמוד. איך להשתמש ב"תסריט של אליס" הפיקטיבי הזה בהתקפה שיכולה לעבוד על צופן מודרני אמיתי? האם זה בכלל אפשרי, אפילו בתיאוריה?

בשנת 1998, הקריפטוגרף השוויצרי דניאל בלייכנבאכר השיב לשאלה זו בחיוב. הוא הדגים התקפת אורקל על מערכת ההצפנה המפתח הציבורי RSA בשימוש נרחב, תוך שימוש בסכימת הודעות ספציפית. בכמה יישומי RSA, השרת מגיב בהודעות שגיאה שונות, תלוי אם הטקסט הפשוט תואם את הסכימה או לא; זה הספיק כדי לבצע את הפיגוע.

ארבע שנים מאוחר יותר, ב-2002, הדגים הצפנה הצרפתי סרז' וודני מתקפת אורקל כמעט זהה לזו שתוארה בתרחיש של אליס לעיל - אלא שבמקום צופן פיקטיבי, הוא שבר מעמד שלם של צופנים מודרניים שבהם משתמשים בפועל באנשים. במיוחד, ההתקפה של Vaudenay מכוונת לצפנים בגודל קלט קבוע ("צפני בלוק") כאשר הם משמשים במה שנקרא "מצב הצפנה CBC" ועם סכמת ריפוד פופולרית מסוימת, שווה ערך לזו שבתרחיש אליס.

כמו כן בשנת 2002, קריפטוגרף אמריקאי ג'ון קלסי - מחבר שותף שני דגים - הציע התקפות אורקל שונות על מערכות שדוחסות הודעות ואז מצפינות אותן. הבולטת מביניהם הייתה מתקפה שניצלה את העובדה שלעיתים ניתן להסיק את אורכו המקורי של הטקסט הפשוט מאורך הטקסט הצופן. בתיאוריה, זה מאפשר התקפת אורקל המשחזרת חלקים מהטקסט הפשוט המקורי.

להלן אנו מספקים תיאור מפורט יותר של התקפות Vaudenay ו-Kelsey (ניתן תיאור מפורט יותר של התקפת Bleichenbacher כאשר נעבור להתקפות על קריפטוגרפיה של מפתח ציבורי). למרות מאמצינו, הטקסט הופך טכני משהו; אז אם האמור לעיל מספיק לך, דלג על שני הסעיפים הבאים.

ההתקפה של וודן

כדי להבין את מתקפת Vaudenay, ראשית עלינו לדבר קצת יותר על צפני בלוק ומצבי הצפנה. "צופן בלוק" הוא, כאמור, צופן שלוקח מפתח וקלט באורך קבוע מסוים ("אורך בלוק") ומייצר בלוק מוצפן באותו אורך. צפני בלוקים נמצאים בשימוש נרחב ונחשבים בטוחים יחסית. ה-DES בדימוס, שנחשב לצופן המודרני הראשון, היה צופן בלוק. כפי שהוזכר לעיל, הדבר נכון גם לגבי AES, שנמצא בשימוש נרחב כיום.

למרבה הצער, לצפני בלוקים יש חולשה בולטת אחת. גודל הבלוק הטיפוסי הוא 128 סיביות, או 16 תווים. ברור שהקריפטוגרפיה המודרנית דורשת עבודה עם נתוני קלט גדולים יותר, וכאן נכנסים לפעולה מצבי הצפנה. מצב הצפנה הוא בעצם פריצה: זו דרך איכשהו להחיל צופן בלוק שמקבל רק קלט בגודל מסוים על קלט באורך שרירותי.

המתקפה של Vodene מתמקדת במצב הפעולה הפופולרי CBC (Cipher Block Chaining). המתקפה מתייחסת לצופן הבלוק הבסיסי כאל קופסה שחורה קסומה ובלתי ניתנת לחדירה ועוקפת לחלוטין את אבטחתה.

להלן תרשים שמראה כיצד עובד מצב CBC:

הפלוס המוקף בעיגול מסמל את פעולת XOR (בלעדי OR). לדוגמה, הבלוק השני של טקסט צופן מתקבל:

1. על ידי ביצוע פעולת XOR בבלוק הטקסט הפשוט השני עם בלוק הטקסט המוצפן הראשון.
2. הצפנת הבלוק שנוצר באמצעות צופן בלוק באמצעות מפתח.

מכיוון ש-CBC עושה שימוש כה רב בפעולת XOR הבינארית, בואו ניקח רגע כדי להיזכר בכמה מהמאפיינים שלה:

• חוסר אונות:
• קומוטטיביות:
• אסוציאטיביות:
• הפיך עצמי:
• גודל בייט: בייט n של = (בייט n של ) (בייט n של )

בדרך כלל, מאפיינים אלה מרמזים שאם יש לנו משוואה הכוללת פעולות XOR ואחת לא ידועה, ניתן לפתור אותה. למשל, אם אנחנו יודעים את זה עם הלא נודע ומפורסם и , אז נוכל להסתמך על המאפיינים שהוזכרו לעיל כדי לפתור את המשוואה עבורה . על ידי החלת XOR משני צידי המשוואה עם , אנחנו מקבלים . כל זה יהפוך להיות מאוד רלוונטי בעוד רגע.

ישנם שני הבדלים מינוריים והבדל אחד גדול בין תרחיש אליס שלנו לבין המתקפה של וודניי. שניים קטנים:

• בתסריט, אליס ציפתה שהטקסטים הפשוטים יסתיימו בדמויות a, bb, ccc וכולי. בהתקפת Wodene, הקורבן מצפה במקום זאת שהטקסטים הפשוטים יסתיימו N פעמים ב-N בייט (כלומר, הקסדצימלי 01 או 02 02, או 03 03 03, וכן הלאה). זהו הבדל קוסמטי בלבד.
• בתרחיש של אליס, קל היה לדעת אם אליס קיבלה את ההודעה על ידי התגובה "טקסט דמה שגוי". בהתקפה של Vodene, נדרש ניתוח נוסף וחשוב יישום מדויק בצד של הקורבן; אבל למען הקיצור, בואו ניקח את זה כנתון שהניתוח הזה עדיין אפשרי.

ההבדל העיקרי:

• מכיוון שאיננו משתמשים באותה מערכת קריפטו, הקשר בין בתים של טקסט צופן הנשלט על ידי התוקף לבין הסודות (מפתח וטקסט פשוט) יהיה שונה כמובן. לכן, התוקף יצטרך להשתמש באסטרטגיה שונה בעת יצירת טקסטים צופנים ופירוש תגובות השרת.

ההבדל הגדול הזה הוא החלק האחרון בפאזל להבנת התקפת Vaudenay, אז בואו ניקח רגע לחשוב מדוע וכיצד ניתן לבצע התקפת אורקל על CBC מלכתחילה.

נניח שניתן לנו טקסט צופן CBC של 247 בלוקים, ואנו רוצים לפענח אותו. אנחנו יכולים לשלוח הודעות מזויפות לשרת, בדיוק כמו שיכולנו לשלוח הודעות מזויפות לאליס בעבר. השרת יפענח עבורנו את ההודעות, אך לא יציג את הפענוח - במקום זאת, שוב, כמו עם אליס, השרת ידווח רק על פיסת מידע אחת: האם לטקסט הפשוט יש ריפוד חוקי או לא.

קחו בחשבון שבתרחיש של אליס היו לנו מערכות היחסים הבאות:

$$display$$text{SIMPLE_SUBSTITUTION}(טקסט{ciphertext},טקסט{key}) = טקסט{פשוט}$$display$$

בואו נקרא לזה "המשוואה של אליס". שלטנו בטקסט הצופן; השרת (אליס) הדליף מידע מעורפל על הטקסט הפשוט שהתקבל; וזה איפשר לנו להסיק מידע על הגורם האחרון - המפתח. באנלוגיה, אם נוכל למצוא חיבור כזה לסקריפט של CBC, אולי נוכל לחלץ קצת מידע סודי גם שם.

למרבה המזל, באמת יש מערכות יחסים שנוכל להשתמש בהן. שקול את הפלט של הקריאה הסופית כדי לפענח צופן בלוק וסמן את הפלט הזה בתור . אנו מציינים גם בלוקים של טקסט פשוט ובלוקים של טקסט צופן . תסתכל שוב על דיאגרמת CBC ושם לב מה קורה:

בואו נקרא לזה "משוואת CBC".

בתרחיש של אליס, על ידי מעקב אחר טקסט ההצפנה וצפייה בדליפת הטקסט הפשוט התואם, הצלחנו לבצע מתקפה ששחזרה את המונח השלישי במשוואה - המפתח. בתרחיש CBC, אנו גם עוקבים אחר טקסט ההצפנה וצופים בדליפות מידע על הטקסט הפשוט המתאים. אם האנלוגיה מתקיימת, נוכל לקבל מידע על .

בואו נניח שבאמת שחזרנו , מה אז? ובכן, אז נוכל להדפיס את כל הבלוק האחרון של טקסט רגיל בבת אחת (), פשוט על ידי כניסה (שיש לנו) ו
קיבל לתוך משוואת CBC.

עכשיו כשאנחנו אופטימיים לגבי תוכנית ההתקפה הכוללת, הגיע הזמן לחשב את הפרטים. אנא שימו לב בדיוק כיצד מידע טקסט רגיל דולף על השרת. בסקריפט של אליס, הדליפה התרחשה מכיוון שאליס תגיב עם ההודעה הנכונה רק אם $inline$text{SIMPLE_SUBSTITUTION}(טקסט{ciphertext},text{key})$inline$ הסתיים בשורה a (או bb, וכן הלאה, אבל הסיכוי שמצבים אלה יופעלו במקרה היה קטן מאוד). בדומה ל-CBC, השרת מקבל את הריפוד אם ורק אם מסתיים בהקסדצימלי 01. אז בואו ננסה את אותו טריק: שליחת טקסטים צופנים מזויפים עם הערכים המזויפים שלנו עד שהשרת יקבל את המילוי.

כאשר השרת מקבל ריפוד עבור אחת מההודעות המזויפות שלנו, זה אומר ש:

כעת אנו משתמשים במאפיין byte-byte XOR:

אנחנו מכירים את המונח הראשון והשלישי. וכבר ראינו שזה מאפשר לנו לשחזר את המונח שנותר - הביייט האחרון ממנו :

זה גם נותן לנו את הביט האחרון של בלוק הטקסט הפשוט הסופי באמצעות משוואת CBC והמאפיין בייט-by-byte.

נוכל להשאיר את זה כך ולהיות מרוצים שביצענו התקפה על צופן חזק תיאורטית. אבל למעשה אנחנו יכולים לעשות הרבה יותר: אנחנו יכולים למעשה לשחזר את כל הטקסט. זה דורש טריק שלא היה בתסריט המקורי של אליס ואינו נדרש להתקפת האורקל, אבל עדיין כדאי ללמוד אותו.

כדי להבין זאת, שים לב תחילה שהתוצאה של הפלט של הערך הנכון של הביט האחרון היא יש לנו יכולת חדשה. כעת, בעת זיוף טקסטים צופנים, אנו יכולים לתמרן את הבת האחרון של הטקסט הפשוט המתאים. שוב, זה קשור למשוואת CBC ולמאפיין בייט-by-byte:

מכיוון שאנו מכירים כעת את המונח השני, אנו יכולים להשתמש בשליטה שלנו על הראשון כדי לשלוט על השלישי. אנחנו פשוט מחשבים:

לא יכולנו לעשות זאת לפני כן, כי עדיין לא היה לנו את הביט האחרון .

איך זה יעזור לנו? נניח שכעת אנו יוצרים את כל טקסטי ההצפנה כך שבטקסטים הפשוטים המקבילים הבת האחרון שווה ל 02. השרת מקבל כעת ריפוד רק אם הטקסט הפשוט מסתיים ב 02 02. מכיוון שתיקנו את הביט האחרון, זה יקרה רק אם הבית הלפני אחרון של הטקסט הפשוט הוא גם 02. אנחנו ממשיכים לשלוח בלוקים של טקסט צופן מזויף, ומשנים את הבית הלפני אחרון, עד שהשרת יקבל את הריפוד של אחד מהם. בשלב זה אנו מקבלים:

ואנחנו משחזרים את הבייט הלפני אחרון בדיוק כמו שהקודם שוחזר. אנו ממשיכים באותה רוח: אנו מתקנים את שני הבייטים האחרונים של הטקסט הפשוט ל 03 03, אנו חוזרים על ההתקפה הזו עבור הבית השלישי מהסוף וכן הלאה, בסופו של דבר משחזרים לחלוטין .

מה עם שאר הטקסט? שימו לב שהערך הוא למעשה $inline$text{BLOCK_DECRYPT}(טקסט{key},C_{247})$inline$. אנחנו יכולים לשים כל בלוק אחר במקום , וההתקפה עדיין תצליח. למעשה, אנחנו יכולים לבקש מהשרת לעשות $inline$text{BLOCK_DECRYPT}$inline$ עבור כל נתונים. בשלב זה, המשחק נגמר - אנו יכולים לפענח כל טקסט צופן (הסתכל שוב על דיאגרמת הפענוח של CBC כדי לראות זאת; ושימו לב שה-IV הוא ציבורי).

השיטה הספציפית הזו ממלאת תפקיד מכריע במתקפת האורקל שבה ניתקל בהמשך.

ההתקפה של קלסי

ג'ון קלסי החביב שלנו הציג את העקרונות שבבסיס התקפות אפשריות רבות, לא רק את הפרטים של התקפה ספציפית על צופן ספציפי. שֶׁלוֹ מאמר 2002 של השנה הוא מחקר של התקפות אפשריות על נתונים דחוסים מוצפנים. חשבתם שהמידע שהנתונים נדחסו לפני ההצפנה לא מספיק כדי לבצע תקיפה? מסתבר שזה מספיק.

תוצאה מפתיעה זו נובעת משני עקרונות. ראשית, יש מתאם חזק בין אורך הטקסט הפשוט לאורכו של הטקסט הצופן; עבור צפנים רבים שוויון מדויק. שנית, כאשר מתבצעת דחיסה, יש גם מתאם חזק בין אורך ההודעה הדחוסה לבין מידת ה"רעש" של הטקסט הפשוט, כלומר, שיעור התווים שאינם חוזרים על עצמם (המונח הטכני הוא "אנטרופיה גבוהה" ).

כדי לראות את העיקרון בפעולה, שקול שני טקסטים פשוטים:

טקסט פשוט 1: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

טקסט פשוט 2: ATVXCAGTRSVPTVVULSJQHGEYCMQPCRQBGCYIXCFJGJ

נניח ששני הטקסטים הפשוטים דחוסים ואז מוצפנים. אתה מקבל שני טקסטים צופנים וצריך לנחש איזה טקסט צופן מתאים לאיזה טקסט רגיל:

טקסט צופן 1: PVOVEYBPJDPVANEAWVGCIUWAABCIYIKOOURMYDTA

טקסט צופן 2: DWKJZXYU

התשובה ברורה. בין הטקסטים הפשוטים, ניתן היה לדחוס רק טקסט פשוט 1 לאורכו הזעום של טקסט הצופן השני. הבנו זאת מבלי לדעת דבר על אלגוריתם הדחיסה, מפתח ההצפנה, או אפילו הצופן עצמו. בהשוואה להיררכיה של התקפות קריפטוגרפיות אפשריות, זה די מטורף.

עוד מציינת קלסי כי בנסיבות חריגות מסוימות ניתן להשתמש בעקרון זה גם לביצוע התקפת אורקל. בפרט, הוא מתאר כיצד תוקף יכול לשחזר את הטקסט הפשוט הסודי אם הוא יכול לאלץ את השרת להצפין את נתוני הטופס (הטקסט הפשוט ואחריו בזמן שהוא בשליטה ויכול איכשהו לבדוק את אורך התוצאה המוצפנת.

שוב, כמו התקפות אורקל אחרות, יש לנו את הקשר:

שוב, אנו שולטים במונח אחד (), אנו רואים דליפה קטנה של מידע על חבר אחר (טקסט צופן) ומנסים לשחזר את האחרון (טקסט פשוט). למרות האנלוגיה, מדובר במצב קצת חריג בהשוואה למתקפות אורקל אחרות שראינו.

כדי להמחיש כיצד מתקפה כזו עשויה לעבוד, הבה נשתמש בסכימת דחיסה פיקטיבית שהמצאנו זה עתה: TOYZIP. הוא מחפש שורות טקסט שהופיעו בעבר בטקסט ומחליף אותן בשלושה בתים של מציין מיקום המציינים היכן למצוא מופע מוקדם יותר של השורה וכמה פעמים הוא מופיע שם. למשל, הקו helloworldhello ניתן לדחוס לתוך helloworld[00][00][05] אורך 13 בתים בהשוואה ל-15 בתים המקוריים.

נניח שתוקף מנסה לשחזר את הטקסט הפשוט של טופס password=..., כאשר הסיסמה עצמה אינה ידועה. לפי מודל ההתקפה של קלסי, תוקף יכול לבקש מהשרת לדחוס ואז להצפין הודעות טופס (טקסט רגיל ואחריו ), איפה  - טקסט חינם. כשהשרת סיים לעבוד, הוא מדווח על אורך התוצאה. המתקפה מתנהלת כך:

פּוֹרֵץ: אנא דחוס והצפין את הטקסט הפשוט ללא כל ריפוד.

שרת: אורך תוצאה 14.

פּוֹרֵץ: נא דחוס והצפין את הטקסט הפשוט שאליו מצורף password=a.

שרת: אורך תוצאה 18.

הקרקר מציין: [מקורי 14] + [שלושה בתים שהחליפו password=] + a

פּוֹרֵץ: נא דחוס והצפין את הטקסט הפשוט שאליו נוסף password=b.

שרת: אורך תוצאה 18.

פּוֹרֵץ: נא דחוס והצפין את הטקסט הפשוט שאליו נוסף password=с.

שרת: אורך תוצאה 17.

הקרקר מציין: [מקורי 14] + [שלושה בתים שהחליפו password=c]. זה מניח שהטקסט הפשוט המקורי מכיל את המחרוזת password=c. כלומר, הסיסמה מתחילה באות c

פּוֹרֵץ: נא דחוס והצפין את הטקסט הפשוט שאליו נוסף password=сa.

שרת: אורך תוצאה 18.

הקרקר מציין: [מקורי 14] + [שלושה בתים שהחליפו password=с] + a

פּוֹרֵץ: נא דחוס והצפין את הטקסט הפשוט שאליו נוסף password=сb.

שרת: אורך תוצאה 18.

(… זמן מה אחר כך…)

פּוֹרֵץ: נא דחוס והצפין את הטקסט הפשוט שאליו נוסף password=со.

שרת: אורך תוצאה 17.

הקרקר מציין: [מקורי 14] + [שלושה בתים שהחליפו password=co]. באמצעות אותו היגיון, התוקף מסיק שהסיסמה מתחילה באותיות co

וכך הלאה עד שכל הסיסמה תשוחזר.

יסלח לקורא אם הוא חושב שזהו תרגיל אקדמי גרידא ושתרחיש תקיפה כזה לעולם לא יתעורר בעולם האמיתי. אבוי, כפי שנראה בקרוב, עדיף לא לוותר על ההצפנה.

פגיעויות מותג: CRIME, POODLE, DROWN

לבסוף, לאחר לימוד התיאוריה בפירוט, נוכל לראות כיצד הטכניקות הללו מיושמות בהתקפות קריפטוגרפיות בחיים האמיתיים.

פשע

אם התקיפה מכוונת לדפדפן ולרשת של הקורבן, חלק יהיה קל יותר וחלק יהיה קשה יותר. לדוגמה, קל לראות את התנועה של הקורבן: פשוט שבו איתו באותו בית קפה עם WiFi. מסיבה זו, לרוב מומלץ לקורבנות פוטנציאליים (כלומר לכולם) להשתמש בחיבור מוצפן. יהיה קשה יותר, אך עדיין אפשרי, לבצע בקשות HTTP בשם הקורבן לאתר צד שלישי כלשהו (לדוגמה, גוגל). התוקף חייב לפתות את הקורבן לדף אינטרנט זדוני עם סקריפט שמבצע את הבקשה. דפדפן האינטרנט יספק אוטומטית את קובץ ה-cookie המתאים להפעלה.

זה נראה מדהים. אם בוב הלך ל evil.com, האם התסריט באתר זה יכול פשוט לבקש מגוגל לשלוח באימייל את הסיסמה של בוב אל [email protected]? ובכן, בתיאוריה כן, אבל במציאות לא. תרחיש זה נקרא מתקפת זיוף בקשות חוצה אתרים (זיוף בקשות בין אתרים, CSRF), וזה היה פופולרי בסביבות אמצע שנות ה-90. היום אם evil.com מנסה את הטריק הזה, גוגל (או כל אתר שמכבד את עצמו) בדרך כלל תגיב: "נהדר, אבל אסימון ה-CSRF שלך עבור העסקה הזו יהיה... אממ... три триллиона и семь. אנא חזור על המספר הזה." לדפדפנים מודרניים יש משהו שנקרא "מדיניות מאותו מקור", לפיה לסקריפטים באתר א' אין גישה למידע שנשלח על ידי אתר ב'. אז לסקריפט ב evil.com יכול לשלוח בקשות ל google.com, אבל לא יכול לקרוא את התגובות או להשלים את העסקה בפועל.

עלינו להדגיש שאם לא בוב משתמש בחיבור מוצפן, כל ההגנות הללו חסרות משמעות. תוקף יכול פשוט לקרוא את התעבורה של בוב ולשחזר את קובץ ה-cookie של גוגל. עם קובץ Cookie זה, הוא פשוט יפתח כרטיסייה חדשה של Google מבלי לעזוב את הדפדפן שלו ויתחזה לבוב מבלי להיתקל במדיניות מטרידה של אותו מקור. אבל, למרבה הצער עבור פורץ, זה הופך פחות ופחות נפוץ. האינטרנט בכללותו הכריז מזמן מלחמה על חיבורים לא מוצפנים, וכנראה שהתנועה היוצאת של בוב מוצפנת, בין אם הוא אוהב את זה ובין אם לא. בנוסף, כבר מתחילת יישום הפרוטוקול, התעבורה הייתה גם התכווץ לפני הצפנה; זה היה נוהג נפוץ כדי להפחית את ההשהיה.

כאן זה נכנס לתמונה פשע (יחס דחיסה Infoleak Made Easy, דליפה פשוטה דרך יחס הדחיסה). הפגיעות נחשפה בספטמבר 2012 על ידי חוקרי האבטחה ג'וליאנו ריזו ותאי דוונג. כבר בדקנו את כל הבסיס התיאורטי, שמאפשר לנו להבין מה הם עשו ואיך. תוקף יכול לאלץ את הדפדפן של בוב לשלוח בקשות לגוגל ואז להאזין לתגובות ברשת המקומית בצורה דחוסה ומוצפנת. לכן יש לנו:

כאן התוקף שולט בבקשה ויש לו גישה לרחרח התעבורה, כולל גודל החבילה. התרחיש הבדיוני של קלסי התעורר לחיים.

מתוך הבנת התיאוריה, מחברי CRIME יצרו ניצול שיכול לגנוב קובצי Cookie של הפעלה עבור מגוון רחב של אתרים, כולל Gmail, Twitter, Dropbox ו-Github. הפגיעות השפיעה על רוב דפדפני האינטרנט המודרניים, וכתוצאה מכך שוחררו תיקונים שקברו בשקט את תכונת הדחיסה ב-SSL כך שלא ייעשה בה שימוש כלל. היחיד שהוגן מפני הפגיעות היה Internet Explorer המכובד, שמעולם לא השתמש בדחיסת SSL כלל.

פּוּדֵל

באוקטובר 2014, צוות האבטחה של Google הכתה גלים בקהילת האבטחה. הם הצליחו לנצל פגיעות בפרוטוקול SSL שתוקן לפני יותר מעשר שנים.

מסתבר שבזמן שהשרתים מריצים את ה-TLSv1.2 החדש והנוצץ, רבים השאירו תמיכה ב-SSLv3 מדור קודם עבור תאימות לאחור עם Internet Explorer 6. כבר דיברנו על התקפות שדרוג לאחור, כך שתוכלו לדמיין מה קורה. חבלה מתוזמרת היטב בפרוטוקול לחיצת היד והשרתים מוכנים לחזור ל-SSLv3 הישן והטוב, ובעצם מבטל את 15 השנים האחרונות של מחקר אבטחה.

להקשר היסטורי, הנה סיכום קצר של ההיסטוריה של SSL עד גרסה 2 מאת Matthew Green:

Transport Layer Security (TLS) הוא פרוטוקול האבטחה החשוב ביותר באינטרנט. [..] כמעט כל עסקה שתבצע באינטרנט תלויה ב-TLS. [..] אבל TLS לא תמיד היה TLS. הפרוטוקול החל את חייו ב נטסקייפ תקשורת שנקרא "שכבת Sockets Secure" או SSL. השמועות אומרות שהגרסה הראשונה של SSL הייתה כל כך נוראית שהמפתחים אספו את כל תדפיסי הקוד וקברו אותם במזבלה סודית בניו מקסיקו. כתוצאה מכך, הגרסה הראשונה הזמינה לציבור של SSL היא למעשה גרסת SSL 2. זה די מפחיד, ו[..] זה היה תוצר של אמצע שנות ה-90, שקריפטוגרפים מודרניים מתייחסים אליו כ"עידנים אפלים של קריפטוגרפיה" רבות מהתקפות ההצפנה הנתעבות ביותר שאנו יודעים עליהן כיום טרם התגלו. כתוצאה מכך, מפתחי פרוטוקול SSLv2 נותרו למעשה לגשש את דרכם בחושך, והם התמודדו עם הרבה מפלצות איומות - לצערם ולתועלתנו, מאחר שההתקפות על SSLv2 הותירו שיעורים יקרי ערך עבור הדור הבא של הפרוטוקולים.

בעקבות אירועים אלה, בשנת 1996, נטסקייפ המתוסכל עיצב מחדש את פרוטוקול ה-SSL מאפס. התוצאה הייתה SSL גרסה 3, אשר תיקן מספר בעיות אבטחה ידועות של קודמו.

למרבה המזל עבור פורצים, "כמה" לא אומר "כולם". בסך הכל, SSLv3 סיפק את כל אבני הבניין הנחוצות להפעלת מתקפת Vodene. הפרוטוקול השתמש בצופן בלוק במצב CBC ובסכמת ריפוד לא מאובטחת (הדבר תוקן ב-TLS; ומכאן הצורך בהתקפת שדרוג לאחור). אם אתה זוכר את סכימת הריפוד בתיאור המקורי שלנו של מתקפת Vaudenay, סכימת SSLv3 דומה מאוד.

אבל, למרבה הצער עבור פורצים, "דומה" אינו אומר "זהה". סכימת הריפוד SSLv3 היא "N בתים אקראיים ואחריהם המספר N". נסה, בתנאים אלה, לבחור בלוק דמיוני של טקסט צופן ולעבור על כל השלבים של הסכימה המקורית של Vaudene: תגלה שההתקפה מחלצת בהצלחה את הביט האחרון מהגוש המתאים של טקסט פשוט, אך לא ממשיכה הלאה. פענוח כל בייט 16 של טקסט ההצפנה הוא טריק נהדר, אבל זה לא ניצחון.

מול כישלון, צוות גוגל פנה למוצא אחרון: הם עברו למודל איום חזק יותר - זה שמשתמשים בו ב-CRIME. בהנחה שהתוקף הוא סקריפט הפועל בלשונית הדפדפן של הקורבן ויכול לחלץ קובצי Cookie של הפעלה, ההתקפה עדיין מרשימה. בעוד שמודל האיומים הרחב פחות מציאותי, ראינו בסעיף הקודם שהמודל הספציפי הזה בר ביצוע.

בהינתן יכולות התוקפים החזקות יותר הללו, המתקפה יכולה כעת להמשיך. שימו לב שהתוקף יודע היכן מופיע קובץ ה-cookie של הפגישה המוצפנת בכותרת ושולט באורך בקשת ה-HTTP הקודמת לה. לכן, הוא מסוגל לתפעל את בקשת ה-HTTP כך שהבייט האחרון של ה-cookie מיושר עם סוף הבלוק. כעת בייט זה מתאים לפענוח. אתה יכול פשוט להוסיף תו אחד לבקשה, והבייט הלפני אחרון של העוגייה יישאר באותו מקום ומתאים לבחירה באותה שיטה. ההתקפה נמשכת באופן זה עד שקובץ ה-cookie משוחזר לחלוטין. זה נקרא POODLE: Padding Oracle on Legacy Encryption בדרגה נמוכה יותר.

לְהַטבִּיעַ

כפי שציינו, ל-SSLv3 היו פגמים, אבל הוא היה שונה מהותית מקודמו, שכן ה-SSLv2 הדולף היה תוצר של עידן אחר. שם אתה יכול לקטוע את ההודעה באמצע: соглашусь на это только через мой труп הפך ל соглашусь на это; הלקוח והשרת יכלו להיפגש באינטרנט, לבסס אמון ולהחליף סודות מול התוקף, שיוכל אז בקלות להתחזות לשניהם. יש גם את הבעיה עם קריפטוגרפיה של ייצוא, אותה הזכרנו כאשר שקלנו את FREAK. אלה היו סדום ועמורה הצפנה.

במרץ 2016, צוות חוקרים מתחומים טכניים שונים התכנס וגילה תגלית מדהימה: SSLv2 עדיין בשימוש במערכות אבטחה. כן, תוקפים כבר לא יכלו לשדרג לאחור הפעלות TLS מודרניות ל-SSLv2 מכיוון שהחור הזה נסגר אחרי FREAK ו-POODLE, אבל הם עדיין יכולים להתחבר לשרתים וליזום הפעלות SSLv2 בעצמם.

אתה יכול לשאול, למה אכפת לנו מה הם עושים שם? יש להם סשן פגיע, אבל זה לא אמור להשפיע על הפעלות אחרות או על אבטחת השרת - נכון? ובכן, לא לגמרי. כן, ככה זה צריך להיות בתיאוריה. אבל לא - כי הפקת תעודות SSL מטילה עומס מסוים, וכתוצאה מכך שרתים רבים משתמשים באותם תעודות וכתוצאה מכך, באותם מפתחות RSA עבור חיבורי TLS ו-SSLv2. כדי להחמיר את המצב, עקב באג OpenSSL, אפשרות "השבת SSLv2" ביישום SSL פופולרי זה לא עבדה בפועל.

זה איפשר מתקפה צולבת פרוטוקולים על TLS, שנקרא לְהַטבִּיעַ (פענוח RSA עם הצפנה מיושנת ומוחלשת, פענוח RSA עם הצפנה מיושנת ומוחלשת). נזכיר שזה לא זהה להתקפה קצרה; התוקף אינו צריך לפעול כ"אדם באמצע" ואינו צריך לערב את הלקוח כדי להשתתף בפגישה לא בטוחה. תוקפים פשוט יוזמים הפעלת SSLv2 לא מאובטחת עם השרת בעצמם, תוקפים את הפרוטוקול החלש ומשחזרים את מפתח ה-RSA הפרטי של השרת. מפתח זה תקף גם עבור חיבורי TLS, ומרגע זה ואילך, שום כמות של אבטחת TLS לא תמנע ממנו להיפגע.

אבל כדי לפצח אותו, אתה צריך מתקפה עובדת נגד SSLv2, המאפשרת לך לשחזר לא רק תעבורה ספציפית, אלא גם את מפתח שרת ה-RSA הסודי. למרות שמדובר בהגדרה מורכבת, החוקרים יכלו לבחור כל פגיעות שנסגרה לחלוטין לאחר SSLv2. בסופו של דבר הם מצאו אפשרות מתאימה: מתקפת בלייכנבאכר, אותה הזכרנו קודם ושאותה נסביר בהרחבה במאמר הבא. SSL ו-TLS מוגנים מפני התקפה זו, אך כמה תכונות אקראיות של SSL, בשילוב עם מפתחות קצרים בהצפנה בדרגת יצוא, אפשרו את זה יישום ספציפי של DROWN.

בזמן הפרסום, 25% מהאתרים המובילים באינטרנט הושפעו מפגיעות DROWN, והתקיפה יכולה להתבצע במשאבים צנועים זמינים אפילו להאקרים בודדים שובבים. אחזור מפתח ה-RSA של השרת דרש שמונה שעות של חישוב ו-$440, ו-SSLv2 הפך ממיושן לרדיואקטיבי.

רגע, מה עם Heartbleed?

אין מדובר בהתקפה קריפטוגרפית במובן שתואר לעיל; זוהי הצפת חיץ.

בוא ניקח הפסקה

התחלנו עם כמה טכניקות בסיסיות: כוח גס, אינטרפולציה, שדרוג לאחור, פרוטוקול צולב ומחשוב מראש. אחר כך הסתכלנו על טכניקה מתקדמת אחת, אולי המרכיב העיקרי של התקפות קריפטוגרפיות מודרניות: מתקפת האורקל. הקדשנו לא מעט זמן להבין את זה - והבנו לא רק את העיקרון הבסיסי, אלא גם את הפרטים הטכניים של שני יישומים ספציפיים: התקפת Vaudenay על מצב ההצפנה CBC והתקפת Kelsey על פרוטוקולי הצפנה קדם-דחיסה.

בסקירת שדרוג לאחור ומתקפות מחשוב מראש, תיארנו בקצרה את מתקפת FREAK, המשתמשת בשתי השיטות על ידי שדרוג לאחור של אתרי יעד למפתחות חלשים ולאחר מכן שימוש חוזר באותם מפתחות. למאמר הבא, נשמור את מתקפת ה-Logjam (הדומה מאוד), המכוונת אלגוריתמי מפתח ציבורי.

לאחר מכן הסתכלנו על שלוש דוגמאות נוספות ליישום העקרונות הללו. ראשית, CRIME ו-POODLE: שתי התקפות שהסתמכו על יכולתו של התוקף להחדיר טקסט פשוט שרירותי לצד טקסט רגיל של המטרה, לאחר מכן בחנו את תגובות השרת ו אז,באמצעות מתודולוגיית התקפות אורקל, נצלו את המידע הדליל הזה כדי לשחזר חלקית את הטקסט הפשוט. CRIME עבר את המסלול של המתקפה של קלסי על דחיסת SSL, בעוד POODLE השתמש במקום זאת בגרסה של המתקפה של Vaudenay על CBC עם אותו אפקט.

לאחר מכן הפנינו את תשומת לבנו למתקפת DROWN בפרוטוקול חוצה, אשר יוצרת חיבור לשרת באמצעות פרוטוקול SSLv2 מדור קודם ולאחר מכן משחזרת את המפתחות הסודיים של השרת באמצעות מתקפת Bleichenbacher. דילגנו על הפרטים הטכניים של המתקפה הזו לעת עתה; כמו Logjam, היא תצטרך לחכות עד שנבין היטב את מערכות ההצפנה המפתחות הציבוריים ואת נקודות התורפה שלהן.

במאמר הבא נדבר על התקפות מתקדמות כמו פגישה באמצע, אנליזה דיפרנציאלית והתקפות יום הולדת. בואו ניקח גיחה מהירה למתקפות של ערוץ צדדי, ואז נעבור לחלק המהנה: מערכות קריפטו של מפתח ציבורי.

מקור: www.habr.com