פגיעות ב-cryptsetup המאפשרת לבטל הצפנה במחיצות LUKS2

זוהתה פגיעות (CVE-2021-4122) בחבילת Cryptsetup, המשמשת להצפנת מחיצות דיסק בלינוקס, המאפשרת לבטל הצפנה במחיצות בפורמט LUKS2 (Linux Unified Key Setup) על ידי שינוי מטא נתונים. כדי לנצל את הפגיעות, לתוקף חייבת להיות גישה פיזית למדיה המוצפנת, כלומר. השיטה הגיונית בעיקר לתקיפת התקני אחסון חיצוניים מוצפנים, כמו כונני Flash, אליהם יש לתוקף גישה אך אינו יודע את הסיסמה לפענוח הנתונים.

ההתקפה חלה רק על פורמט LUKS2 והיא קשורה למניפולציה של מטא נתונים האחראים להפעלת תוסף "הצפנה מחדש מקוונת", המאפשרת, אם יש צורך לשנות את מפתח הגישה, להתחיל בתהליך של הצפנת נתונים מחדש. מבלי להפסיק את העבודה עם המחיצה. מאחר שתהליך הפענוח וההצפנה עם מפתח חדש לוקח הרבה זמן, "הצפנה מחדש מקוונת" מאפשרת לא להפריע לעבודה עם המחיצה ולבצע הצפנה מחדש ברקע, תוך הצפנה הדרגתית של נתונים ממפתח אחד למשנהו . אפשר גם לבחור מפתח יעד ריק, המאפשר להמיר את הקטע לטופס מפוענח.

תוקף יכול לבצע שינויים במטא נתונים של LUKS2 המדמים הפסקה של פעולת הפענוח כתוצאה מכשל ולהשיג פענוח של חלק מהמחיצה לאחר הפעלה ושימוש בכונן שהשתנה על ידי הבעלים. במקרה זה, המשתמש שחיבר את הכונן שהשתנה ופתח אותו עם הסיסמה הנכונה אינו מקבל כל אזהרה לגבי תהליך שחזור פעולת ההצפנה המופרעת ויכול לברר על התקדמות הפעולה רק באמצעות "luks Dump" פקודה. כמות הנתונים שתוקף יכול לפענח תלויה בגודל הכותרת של LUKS2, אך בגודל ברירת המחדל (16 MiB) היא יכולה לעלות על 3 GB.

הבעיה נגרמת מהעובדה שלמרות שהצפנה מחדש מצריכה חישוב ואימות גיבוב של המפתחות החדשים והישנים, אין צורך ב-hash כדי להתחיל בפענוח אם המצב החדש מרמז על היעדר מפתח טקסט פשוט להצפנה. בנוסף, המטא-נתונים של LUKS2, המציינים את אלגוריתם ההצפנה, אינם מוגנים מפני שינויים אם הם נופלים לידיו של תוקף. כדי לחסום את הפגיעות, המפתחים הוסיפו הגנה נוספת למטא נתונים ל-LUKS2, עבורו נבדק כעת hash נוסף, המחושב על סמך מפתחות ידועים ותכני מטא נתונים, כלומר. תוקף כבר לא יכול לשנות מטא נתונים בחשאי מבלי לדעת את סיסמת הפענוח.

תרחיש התקפה טיפוסי מחייב שהתוקף יוכל לשים את ידיו על הכונן מספר פעמים. ראשית, תוקף שאינו יודע את סיסמת הגישה מבצע שינויים באזור המטא נתונים, וגורם לפענוח חלק מהנתונים בפעם הבאה שהכונן יופעל. לאחר מכן הכונן מוחזר למקומו והתוקף ממתין עד שהמשתמש יחבר אותו על ידי הזנת סיסמה. כאשר המכשיר מופעל על ידי המשתמש, מתחיל תהליך הצפנה מחדש ברקע, במהלכו חלק מהנתונים המוצפנים מוחלף בנתונים מפוענחים. יתרה מכך, אם התוקף יצליח לשים את ידיו על המכשיר שוב, חלק מהנתונים בכונן יהיו בצורה מפוענחת.

הבעיה זוהתה על ידי מנהל פרויקט cryptsetup ותוקנה בעדכוני cryptsetup 2.4.3 ו- 2.3.7. ניתן לעקוב אחר מצב העדכונים שנוצרים כדי לתקן את הבעיה בהפצות בדפים הבאים: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. הפגיעות מופיעה רק מאז שחרורו של cryptsetup 2.2.0, שהציג תמיכה בפעולת "הצפנה מחדש מקוונת". כפתרון עוקף להגנה, ניתן להשתמש בהשקה עם אפשרות "--disable-luks2-reencryption".

מקור: OpenNet.ru