LUKS2 പാർട്ടീഷനുകളിൽ എൻക്രിപ്ഷൻ പ്രവർത്തനരഹിതമാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ക്രിപ്റ്റ്സെറ്റപ്പിലെ ഒരു അപകടസാധ്യത

ലിനക്സിലെ ഡിസ്ക് പാർട്ടീഷനുകൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന ക്രിപ്റ്റ്സെറ്റപ്പ് പാക്കേജിൽ ഒരു ദുർബലത (CVE-2021-4122) തിരിച്ചറിഞ്ഞു, ഇത് മെറ്റാഡാറ്റ പരിഷ്ക്കരിച്ച് LUKS2 (ലിനക്സ് യൂണിഫൈഡ് കീ സെറ്റപ്പ്) ഫോർമാറ്റിലുള്ള പാർട്ടീഷനുകളിൽ എൻക്രിപ്ഷൻ പ്രവർത്തനരഹിതമാക്കാൻ അനുവദിക്കുന്നു. അപകടസാധ്യത പ്രയോജനപ്പെടുത്തുന്നതിന്, ആക്രമണകാരിക്ക് എൻക്രിപ്റ്റ് ചെയ്ത മീഡിയയിലേക്ക് ഫിസിക്കൽ ആക്സസ് ഉണ്ടായിരിക്കണം, അതായത്. ആക്രമണകാരിക്ക് ആക്‌സസ് ഉള്ളതും എന്നാൽ ഡാറ്റ ഡീക്രിപ്റ്റ് ചെയ്യുന്നതിനുള്ള പാസ്‌വേഡ് അറിയാത്തതുമായ ഫ്ലാഷ് ഡ്രൈവുകൾ പോലെയുള്ള എൻക്രിപ്റ്റ് ചെയ്ത ബാഹ്യ സംഭരണ ​​ഉപകരണങ്ങളെ ആക്രമിക്കുന്നതിനാണ് ഈ രീതി പ്രധാനമായും അർത്ഥമാക്കുന്നത്.

ആക്രമണം LUKS2 ഫോർമാറ്റിന് മാത്രമേ ബാധകമാകൂ കൂടാതെ "ഓൺലൈൻ റീഎൻക്രിപ്ഷൻ" വിപുലീകരണം സജീവമാക്കുന്നതിന് ഉത്തരവാദിത്തമുള്ള മെറ്റാഡാറ്റയുടെ കൃത്രിമത്വവുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, അത് ആക്സസ് കീ മാറ്റാൻ ആവശ്യമെങ്കിൽ, ഫ്ലൈയിൽ ഡാറ്റ റീഎൻക്രിപ്ഷൻ പ്രക്രിയ ആരംഭിക്കാൻ അനുവദിക്കുന്നു. പാർട്ടീഷൻ ഉപയോഗിച്ച് ജോലി നിർത്താതെ. ഒരു പുതിയ കീ ഉപയോഗിച്ചുള്ള ഡീക്രിപ്ഷൻ, എൻക്രിപ്ഷൻ എന്നിവയ്ക്ക് വളരെയധികം സമയമെടുക്കുന്നതിനാൽ, "ഓൺലൈൻ റീഎൻക്രിപ്ഷൻ" എന്നത് പാർട്ടീഷനുമായുള്ള പ്രവർത്തനത്തെ തടസ്സപ്പെടുത്താതിരിക്കാനും പശ്ചാത്തലത്തിൽ വീണ്ടും എൻക്രിപ്ഷൻ നടത്താനും സാധ്യമാക്കുന്നു, ക്രമേണ ഡാറ്റ ഒരു കീയിൽ നിന്ന് മറ്റൊന്നിലേക്ക് വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്യുന്നു. . ഒരു ശൂന്യമായ ടാർഗെറ്റ് കീ തിരഞ്ഞെടുക്കുന്നതും സാധ്യമാണ്, ഇത് വിഭാഗത്തെ ഡീക്രിപ്റ്റ് ചെയ്ത ഫോമിലേക്ക് പരിവർത്തനം ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

ഒരു ആക്രമണകാരിക്ക് LUKS2 മെറ്റാഡാറ്റയിൽ മാറ്റങ്ങൾ വരുത്താൻ കഴിയും, അത് ഒരു പരാജയത്തിന്റെ ഫലമായി ഡീക്രിപ്ഷൻ ഓപ്പറേഷൻ നിർത്തലാക്കുന്നതിനെ അനുകരിക്കുകയും ഉടമസ്ഥൻ പരിഷ്കരിച്ച ഡ്രൈവ് സജീവമാക്കുകയും ഉപയോഗിക്കുകയും ചെയ്ത ശേഷം പാർട്ടീഷന്റെ ഒരു ഭാഗം ഡീക്രിപ്ഷൻ നേടുകയും ചെയ്യും. ഈ സാഹചര്യത്തിൽ, പരിഷ്‌ക്കരിച്ച ഡ്രൈവ് കണക്‌റ്റ് ചെയ്‌ത് ശരിയായ പാസ്‌വേഡ് ഉപയോഗിച്ച് അൺലോക്ക് ചെയ്‌ത ഉപയോക്താവിന് തടസ്സപ്പെട്ട റീഎൻക്രിപ്ഷൻ പ്രവർത്തനം പുനഃസ്ഥാപിക്കുന്ന പ്രക്രിയയെക്കുറിച്ച് ഒരു മുന്നറിയിപ്പും ലഭിക്കുന്നില്ല കൂടാതെ “luks Dump” ഉപയോഗിച്ച് മാത്രമേ ഈ പ്രവർത്തനത്തിന്റെ പുരോഗതിയെക്കുറിച്ച് അറിയാൻ കഴിയൂ. കമാൻഡ്. ഒരു ആക്രമണകാരിക്ക് ഡീക്രിപ്റ്റ് ചെയ്യാൻ കഴിയുന്ന ഡാറ്റയുടെ അളവ് LUKS2 ഹെഡറിന്റെ വലുപ്പത്തെ ആശ്രയിച്ചിരിക്കുന്നു, എന്നാൽ സ്ഥിരസ്ഥിതി വലുപ്പത്തിൽ (16 MiB) അത് 3 GB കവിയുന്നു.

റീ-എൻക്രിപ്ഷന് പുതിയതും പഴയതുമായ കീകളുടെ ഹാഷുകൾ കണക്കാക്കുകയും പരിശോധിക്കുകയും ചെയ്യേണ്ടതുണ്ടെങ്കിലും, എൻക്രിപ്ഷനുള്ള പ്ലെയിൻടെക്സ്റ്റ് കീയുടെ അഭാവത്തെയാണ് പുതിയ സംസ്ഥാനം സൂചിപ്പിക്കുന്നതെങ്കിൽ, ഡീക്രിപ്ഷൻ ആരംഭിക്കുന്നതിന് ഒരു ഹാഷ് ആവശ്യമില്ല എന്നതാണ് പ്രശ്നം. കൂടാതെ, എൻക്രിപ്ഷൻ അൽഗോരിതം വ്യക്തമാക്കുന്ന LUKS2 മെറ്റാഡാറ്റ, ആക്രമണകാരിയുടെ കൈകളിൽ വീണാൽ, പരിഷ്ക്കരണത്തിൽ നിന്ന് സംരക്ഷിക്കപ്പെടുന്നില്ല. അപകടസാധ്യത തടയുന്നതിന്, ഡെവലപ്പർമാർ LUKS2-ലേക്ക് മെറ്റാഡാറ്റയ്‌ക്കായി അധിക പരിരക്ഷ ചേർത്തു, അതിനായി ഒരു അധിക ഹാഷ് ഇപ്പോൾ പരിശോധിച്ചു, അറിയപ്പെടുന്ന കീകളും മെറ്റാഡാറ്റ ഉള്ളടക്കങ്ങളും അടിസ്ഥാനമാക്കി കണക്കാക്കുന്നു, അതായത്. ഡീക്രിപ്ഷൻ പാസ്‌വേഡ് അറിയാതെ ഒരു ആക്രമണകാരിക്ക് മെറ്റാഡാറ്റ രഹസ്യമായി മാറ്റാൻ കഴിയില്ല.

ഒരു സാധാരണ ആക്രമണസാഹചര്യത്തിന് ആക്രമണകാരിക്ക് ഒന്നിലധികം തവണ ഡ്രൈവിൽ കൈകൾ എത്തിക്കാൻ കഴിയണം. ആദ്യം, ആക്‌സസ് പാസ്‌വേഡ് അറിയാത്ത ഒരു ആക്രമണകാരി മെറ്റാഡാറ്റ ഏരിയയിൽ മാറ്റങ്ങൾ വരുത്തുന്നു, അടുത്ത തവണ ഡ്രൈവ് സജീവമാകുമ്പോൾ ഡാറ്റയുടെ ഒരു ഭാഗത്തിന്റെ ഡീക്രിപ്ഷൻ പ്രവർത്തനക്ഷമമാക്കുന്നു. തുടർന്ന് ഡ്രൈവ് അതിന്റെ സ്ഥലത്തേക്ക് മടങ്ങുകയും ഉപയോക്താവ് ഒരു പാസ്‌വേഡ് നൽകി അത് ബന്ധിപ്പിക്കുന്നത് വരെ ആക്രമണകാരി കാത്തിരിക്കുകയും ചെയ്യുന്നു. ഉപയോക്താവ് ഉപകരണം സജീവമാക്കുമ്പോൾ, ഒരു പശ്ചാത്തല പുനർ-എൻക്രിപ്ഷൻ പ്രക്രിയ ആരംഭിക്കുന്നു, ഈ സമയത്ത് എൻക്രിപ്റ്റ് ചെയ്ത ഡാറ്റയുടെ ഒരു ഭാഗം ഡീക്രിപ്റ്റ് ചെയ്ത ഡാറ്റ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നു. കൂടാതെ, ആക്രമണകാരി വീണ്ടും ഉപകരണത്തിൽ കൈകോർത്താൽ, ഡ്രൈവിലെ ചില ഡാറ്റ ഡീക്രിപ്റ്റ് ചെയ്ത രൂപത്തിലായിരിക്കും.

ക്രിപ്റ്റ്സെറ്റപ്പ് പ്രൊജക്റ്റ് മെയിന്റനർ ഈ പ്രശ്നം തിരിച്ചറിഞ്ഞു, ക്രിപ്റ്റ്സെറ്റപ്പ് 2.4.3, 2.3.7 അപ്ഡേറ്റുകളിൽ പരിഹരിച്ചു. വിതരണങ്ങളിലെ പ്രശ്‌നം പരിഹരിക്കുന്നതിനായി സൃഷ്‌ടിക്കുന്ന അപ്‌ഡേറ്റുകളുടെ നില ഈ പേജുകളിൽ ട്രാക്ക് ചെയ്യാൻ കഴിയും: Debian, RHEL, SUSE, Fedora, Ubuntu, Arch. "ഓൺലൈൻ റീഎൻക്രിപ്ഷൻ" പ്രവർത്തനത്തിനുള്ള പിന്തുണ അവതരിപ്പിച്ച ക്രിപ്റ്റ്സെറ്റപ്പ് 2.2.0 പുറത്തിറങ്ങിയതിനുശേഷം മാത്രമാണ് ഈ അപകടസാധ്യത ദൃശ്യമാകുന്നത്. സംരക്ഷണത്തിനുള്ള ഒരു പരിഹാരമെന്ന നിലയിൽ, “--disable-luks2-reencryption” ഓപ്ഷൻ ഉപയോഗിച്ച് സമാരംഭിക്കുന്നത് ഉപയോഗിക്കാം.

അവലംബം: opennet.ru