ຊ່ອງໂຫວ່ໃນ cryptsetup ທີ່ອະນຸຍາດໃຫ້ທ່ານປິດການເຂົ້າລະຫັດໃນພາທິຊັນ LUKS2

ຊ່ອງໂຫວ່ (CVE-2021-4122) ໄດ້ຖືກລະບຸໄວ້ໃນແພັກເກັດ Cryptsetup, ໃຊ້ເພື່ອເຂົ້າລະຫັດພາທິຊັນແຜ່ນໃນ Linux, ເຊິ່ງອະນຸຍາດໃຫ້ປິດການເຂົ້າລະຫັດໃນພາທິຊັນໃນຮູບແບບ LUKS2 (Linux Unified Key Setup) ໂດຍການດັດແກ້ເມຕາເດຕາ. ເພື່ອຂູດຮີດຊ່ອງໂຫວ່, ຜູ້ໂຈມຕີຕ້ອງມີການເຂົ້າເຖິງສື່ທີ່ຖືກເຂົ້າລະຫັດ, i.e. ວິທີການດັ່ງກ່າວເຮັດໃຫ້ຄວາມຮູ້ສຶກສ່ວນໃຫຍ່ແມ່ນການໂຈມຕີອຸປະກອນການເກັບຮັກສາພາຍນອກທີ່ຖືກເຂົ້າລະຫັດ, ເຊັ່ນ Flash drives, ທີ່ຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງໄດ້ແຕ່ບໍ່ຮູ້ລະຫັດຜ່ານເພື່ອຖອດລະຫັດຂໍ້ມູນ.

ການໂຈມຕີແມ່ນໃຊ້ໄດ້ສະເພາະກັບຮູບແບບ LUKS2 ເທົ່ານັ້ນ ແລະກ່ຽວຂ້ອງກັບການຈັດການເມຕາເດຕາທີ່ຮັບຜິດຊອບໃນການເປີດໃຊ້ສ່ວນຂະຫຍາຍ "ການເຂົ້າລະຫັດລັບອອນໄລນ໌", ເຊິ່ງອະນຸຍາດໃຫ້, ຖ້າມັນຈໍາເປັນຕ້ອງປ່ຽນລະຫັດການເຂົ້າເຖິງ, ເພື່ອເລີ່ມຕົ້ນຂະບວນການເຂົ້າລະຫັດຂໍ້ມູນຄືນໃຫມ່. ໂດຍ​ບໍ່​ມີ​ການ​ຢຸດ​ເຊົາ​ການ​ເຮັດ​ວຽກ​ກັບ​ການ​ແບ່ງ​ປັນ​. ເນື່ອງຈາກຂະບວນການຖອດລະຫັດແລະການເຂົ້າລະຫັດດ້ວຍລະຫັດໃຫມ່ໃຊ້ເວລາຫຼາຍ, "ການເຂົ້າລະຫັດໃຫມ່ອອນໄລນ໌" ເຮັດໃຫ້ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຂັດຂວາງການເຮັດວຽກກັບພາທິຊັນແລະປະຕິບັດການເຂົ້າລະຫັດໃຫມ່ໃນພື້ນຫລັງ, ຄ່ອຍໆເຂົ້າລະຫັດຂໍ້ມູນຈາກຄີຫນຶ່ງໄປຫາອີກອັນຫນຶ່ງ. . ມັນຍັງເປັນໄປໄດ້ທີ່ຈະເລືອກເອົາກະແຈເປົ້າຫມາຍທີ່ຫວ່າງເປົ່າ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດປ່ຽນສ່ວນເຂົ້າໄປໃນແບບຟອມທີ່ຖືກຖອດລະຫັດ.

ຜູ້ໂຈມຕີສາມາດເຮັດໃຫ້ການປ່ຽນແປງ metadata LUKS2 ທີ່ຈໍາລອງການຍົກເລີກການປະຕິບັດການຖອດລະຫັດເປັນຜົນມາຈາກຄວາມລົ້ມເຫລວແລະບັນລຸການຖອດລະຫັດຂອງສ່ວນຫນຶ່ງຂອງພາທິຊັນຫຼັງຈາກການເປີດໃຊ້ງານແລະການນໍາໃຊ້ໄດທີ່ຖືກດັດແປງໂດຍເຈົ້າຂອງ. ໃນ​ກໍ​ລະ​ນີ​ນີ້, ຜູ້​ໃຊ້​ທີ່​ໄດ້​ເຊື່ອມ​ຕໍ່​ການ​ດັດ​ແກ້​ແລະ​ປົດ​ລັອກ​ມັນ​ດ້ວຍ​ລະ​ຫັດ​ຜ່ານ​ທີ່​ຖືກ​ຕ້ອງ​ຈະ​ບໍ່​ໄດ້​ຮັບ​ຄໍາ​ເຕືອນ​ກ່ຽວ​ກັບ​ຂະ​ບວນ​ການ​ຂອງ​ການ​ຟື້ນ​ຟູ​ການ​ທໍາ​ງານ reencryption ລົບ​ກວນ​ແລະ​ພຽງ​ແຕ່​ສາ​ມາດ​ຊອກ​ຫາ​ຄວາມ​ຄືບ​ຫນ້າ​ຂອງ​ການ​ດໍາ​ເນີນ​ງານ​ນີ້​ໂດຍ​ການ​ນໍາ​ໃຊ້ "luks Dump​" ຄໍາສັ່ງ. ຈໍານວນຂໍ້ມູນທີ່ຜູ້ໂຈມຕີສາມາດຖອດລະຫັດໄດ້ແມ່ນຂຶ້ນກັບຂະຫນາດຂອງຫົວ LUKS2, ແຕ່ໃນຂະຫນາດເລີ່ມຕົ້ນ (16 MiB) ມັນສາມາດເກີນ 3 GB.

ບັນຫາແມ່ນເກີດມາຈາກຄວາມຈິງທີ່ວ່າເຖິງແມ່ນວ່າການເຂົ້າລະຫັດຄືນໃຫມ່ຮຽກຮ້ອງໃຫ້ມີການຄິດໄລ່ແລະການກວດສອບ hash ຂອງກະແຈໃຫມ່ແລະເກົ່າ, hash ແມ່ນບໍ່ຈໍາເປັນເພື່ອເລີ່ມຕົ້ນການຖອດລະຫັດຖ້າລັດໃຫມ່ຫມາຍເຖິງການບໍ່ມີລະຫັດ plaintext ສໍາລັບການເຂົ້າລະຫັດ. ນອກຈາກນັ້ນ, metadata LUKS2, ເຊິ່ງລະບຸລະບົບການເຂົ້າລະຫັດ, ບໍ່ໄດ້ຮັບການປົກປ້ອງຈາກການດັດແປງຖ້າມັນຕົກຢູ່ໃນມືຂອງຜູ້ໂຈມຕີ. ເພື່ອສະກັດຊ່ອງໂຫວ່, ນັກພັດທະນາໄດ້ເພີ່ມການປົກປ້ອງເພີ່ມເຕີມສໍາລັບ metadata ກັບ LUKS2, ເຊິ່ງຕອນນີ້ມີການກວດສອບການເພີ່ມ hash, ຄິດໄລ່ໂດຍອີງໃສ່ລະຫັດທີ່ຮູ້ຈັກແລະເນື້ອໃນ metadata, i.e. ຜູ້ໂຈມຕີບໍ່ສາມາດປ່ຽນເມຕາເດຕາໄດ້ໂດຍທີ່ບໍ່ຮູ້ຈັກລະຫັດຜ່ານການຖອດລະຫັດໄດ້ອີກຕໍ່ໄປ.

ສະຖານະການການໂຈມຕີແບບປົກກະຕິຮຽກຮ້ອງໃຫ້ຜູ້ໂຈມຕີສາມາດເອົາມືຂອງເຂົາເຈົ້າໃສ່ໄດໄດ້ຫຼາຍຄັ້ງ. ທໍາອິດ, ຜູ້ໂຈມຕີທີ່ບໍ່ຮູ້ລະຫັດຜ່ານການເຂົ້າເຖິງເຮັດການປ່ຽນແປງໃນພື້ນທີ່ metadata, ເຮັດໃຫ້ເກີດການຖອດລະຫັດບາງສ່ວນຂອງຂໍ້ມູນໃນຄັ້ງຕໍ່ໄປທີ່ໄດຖືກເປີດໃຊ້. ໄດຣຟ໌ຈະຖືກສົ່ງກັບຄືນໄປບ່ອນຂອງມັນ ແລະຜູ້ໂຈມຕີລໍຖ້າຈົນກ່ວາຜູ້ໃຊ້ເຊື່ອມຕໍ່ມັນໂດຍການໃສ່ລະຫັດຜ່ານ. ເມື່ອອຸປະກອນຖືກເປີດໃຊ້ໂດຍຜູ້ໃຊ້, ຂະບວນການເຂົ້າລະຫັດພື້ນຫຼັງແມ່ນເລີ່ມຕົ້ນ, ໃນລະຫວ່າງນັ້ນສ່ວນຂອງຂໍ້ມູນທີ່ເຂົ້າລະຫັດຈະຖືກແທນທີ່ດ້ວຍຂໍ້ມູນທີ່ຖອດລະຫັດ. ນອກຈາກນັ້ນ, ຖ້າຜູ້ໂຈມຕີສາມາດເອົາມືຂອງລາວຢູ່ໃນອຸປະກອນອີກເທື່ອຫນຶ່ງ, ຂໍ້ມູນບາງຢ່າງໃນໄດຈະຢູ່ໃນຮູບແບບທີ່ຖືກຖອດລະຫັດ.

ບັນຫາດັ່ງກ່າວໄດ້ຖືກກໍານົດໂດຍຜູ້ຮັກສາໂຄງການ cryptsetup ແລະຖືກແກ້ໄຂໃນການປັບປຸງ cryptsetup 2.4.3 ແລະ 2.3.7. ສະຖານະຂອງການປັບປຸງທີ່ຖືກສ້າງຂຶ້ນເພື່ອແກ້ໄຂບັນຫາໃນການແຈກຢາຍສາມາດຕິດຕາມຢູ່ໃນຫນ້າເຫຼົ່ານີ້: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. ຊ່ອງໂຫວ່ພຽງແຕ່ປາກົດຕັ້ງແຕ່ການປ່ອຍ cryptsetup 2.2.0, ເຊິ່ງໄດ້ນໍາສະເຫນີການສະຫນັບສະຫນູນສໍາລັບການປະຕິບັດງານ "ການເຂົ້າລະຫັດອອນໄລນ໌ຄືນໃຫມ່". ເປັນການແກ້ໄຂບັນຫາເພື່ອປ້ອງກັນ, ການເປີດຕົວດ້ວຍທາງເລືອກ “--disable-luks2-reencryption” ສາມາດຖືກນໍາໃຊ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru