DH സൈഫറുകളെ അടിസ്ഥാനമാക്കിയുള്ള കണക്ഷനുകളുടെ പ്രധാന നിർണ്ണയം അനുവദിക്കുന്ന TLS-ലെ ദുർബലത

വെളിപ്പെടുത്തി പുതിയതിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ പരാധീനതകൾ (CVE-2020-1968) TLS പ്രോട്ടോക്കോളിൽ, കോഡ് നാമം
റാക്കൂൺ ട്രാൻസിറ്റ് ട്രാഫിക് (MITM) തടസ്സപ്പെടുത്തുമ്പോൾ HTTPS ഉൾപ്പെടെയുള്ള TLS കണക്ഷനുകൾ ഡീക്രിപ്റ്റ് ചെയ്യാൻ ഉപയോഗിക്കാവുന്ന ഒരു പ്രാഥമിക പ്രൈമറി കീ (പ്രീ-മാസ്റ്റർ) നിർണ്ണയിക്കാൻ അപൂർവ സന്ദർഭങ്ങളിൽ അനുവദിക്കുന്നു. ആക്രമണം പ്രായോഗികമായി നടപ്പിലാക്കുന്നതിന് വളരെ പ്രയാസകരമാണെന്നും കൂടുതൽ സൈദ്ധാന്തിക സ്വഭാവമാണെന്നും ശ്രദ്ധിക്കപ്പെടുന്നു. ഒരു ആക്രമണം നടത്താൻ, TLS സെർവറിന്റെ ഒരു പ്രത്യേക കോൺഫിഗറേഷനും സെർവർ പ്രോസസ്സിംഗ് സമയം വളരെ കൃത്യമായി അളക്കാനുള്ള കഴിവും ആവശ്യമാണ്.

പ്രശ്നം നേരിട്ട് TLS സ്പെസിഫിക്കേഷനിൽ ഉണ്ട് കൂടാതെ DH കീ എക്സ്ചേഞ്ച് പ്രോട്ടോക്കോൾ (Diffie-Hellman, TLS_DH_*") അടിസ്ഥാനമാക്കിയുള്ള സൈഫറുകൾ ഉപയോഗിക്കുന്ന കണക്ഷനുകളെ മാത്രമേ ബാധിക്കുകയുള്ളൂ. ECDH സൈഫറുകൾ ഉപയോഗിച്ച് പ്രശ്നം സംഭവിക്കുന്നില്ല, അവ സുരക്ഷിതമായി തുടരുന്നു. പതിപ്പ് 1.2 വരെയുള്ള TLS പ്രോട്ടോക്കോളുകൾക്ക് മാത്രമേ അപകടസാധ്യതയുള്ളൂ; TLS 1.3-നെ പ്രശ്നം ബാധിക്കില്ല. വ്യത്യസ്ത TLS കണക്ഷനുകളിലുടനീളം DH രഹസ്യ കീ പുനരുപയോഗിക്കുന്ന TLS നടപ്പിലാക്കലുകളിൽ ഈ അപകടസാധ്യത സംഭവിക്കുന്നു (ഏകദേശം 4.4% Alexa Top 1M സെർവറുകളിൽ ഈ സ്വഭാവം സംഭവിക്കുന്നു).

OpenSSL 1.0.2e-ലും മുമ്പത്തെ റിലീസുകളിലും, SSL_OP_SINGLE_DH_USE ഓപ്ഷൻ വ്യക്തമായി സജ്ജീകരിച്ചിട്ടില്ലെങ്കിൽ എല്ലാ സെർവർ കണക്ഷനുകളിലും DH പ്രാഥമിക കീ വീണ്ടും ഉപയോഗിക്കും. OpenSSL 1.0.2f മുതൽ, സ്റ്റാറ്റിക് DH സൈഫറുകൾ ഉപയോഗിക്കുമ്പോൾ മാത്രമേ DH പ്രാഥമിക കീ വീണ്ടും ഉപയോഗിക്കുകയുള്ളൂ ("DH-*", ഉദാ. "DH-RSA-AES256-SHA"). ഈ ബ്രാഞ്ച് ഒരു ഡിഎച്ച് പ്രൈമറി കീ ഉപയോഗിക്കാത്തതിനാൽ സ്റ്റാറ്റിക് ഡിഎച്ച് സൈഫറുകൾ ഉപയോഗിക്കാത്തതിനാൽ, ഓപ്പൺഎസ്എസ്എൽ 1.1.1-ൽ അപകടസാധ്യത ദൃശ്യമാകില്ല.

DH കീ എക്സ്ചേഞ്ച് രീതി ഉപയോഗിക്കുമ്പോൾ, കണക്ഷന്റെ ഇരുവശവും റാൻഡം പ്രൈവറ്റ് കീകൾ സൃഷ്ടിക്കുന്നു (ഇനി മുതൽ "a" കീ "b"), അതിന്റെ അടിസ്ഥാനത്തിൽ പൊതു കീകൾ (ga mod p, gb mod p) കണക്കാക്കി അയയ്ക്കുന്നു. ഓരോ പാർട്ടിക്കും പബ്ലിക് കീകൾ ലഭിച്ചതിന് ശേഷം, സെഷൻ കീകൾ സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്ന ഒരു പൊതു പ്രാഥമിക കീ (gab mod p) കണക്കാക്കുന്നു. പതിപ്പ് 1.2 വരെയുള്ള TLS സ്പെസിഫിക്കേഷനുകൾ ഉൾപ്പെടുന്ന കണക്കുകൂട്ടലുകൾക്ക് മുമ്പ് പ്രാഥമിക കീയുടെ എല്ലാ മുൻനിര നൾ ബൈറ്റുകളും നിരസിക്കണമെന്ന വസ്തുതയെ അടിസ്ഥാനമാക്കി, സൈഡ്-ചാനൽ വിശകലനത്തിലൂടെ പ്രാഥമിക കീ നിർണ്ണയിക്കാൻ റാക്കൂൺ ആക്രമണം നിങ്ങളെ അനുവദിക്കുന്നു.

വ്യത്യസ്ത ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ വ്യത്യസ്ത കാലതാമസങ്ങളുള്ള ഹാഷ് ഫംഗ്ഷനുകളെ അടിസ്ഥാനമാക്കിയുള്ള, വെട്ടിച്ചുരുക്കിയ പ്രൈമറി കീ ഉൾപ്പെടെ, സെഷൻ കീ ജനറേഷൻ ഫംഗ്‌ഷനിലേക്ക് കൈമാറുന്നു. സെർവർ നിർവ്വഹിക്കുന്ന പ്രധാന പ്രവർത്തനങ്ങളുടെ സമയം കൃത്യമായി അളക്കുന്നത്, പ്രാഥമിക കീ സ്ക്രാച്ചിൽ നിന്നാണോ അല്ലയോ എന്ന് തീരുമാനിക്കുന്നത് സാധ്യമാക്കുന്ന സൂചനകൾ (ഒറാക്കിൾ) നിർണ്ണയിക്കാൻ ആക്രമണകാരിയെ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്, ഒരു ആക്രമണകാരിക്ക് ക്ലയന്റ് അയച്ച പബ്ലിക് കീ (ga) തടസ്സപ്പെടുത്താനും സെർവറിലേക്ക് വീണ്ടും സംപ്രേഷണം ചെയ്യാനും നിർണ്ണയിക്കാനും കഴിയും
തത്ഫലമായുണ്ടാകുന്ന പ്രാഥമിക കീ പൂജ്യത്തിൽ നിന്നാണോ ആരംഭിക്കുന്നത്.

കീയുടെ ഒരു ബൈറ്റ് സ്വയം നിർവചിക്കുന്നത് ഒന്നും നൽകുന്നില്ല, എന്നാൽ കണക്ഷൻ ചർച്ചയ്ക്കിടെ ക്ലയന്റ് കൈമാറ്റം ചെയ്യുന്ന "ga" മൂല്യം തടസ്സപ്പെടുത്തുന്നതിലൂടെ, ആക്രമണകാരിക്ക് "ga" യുമായി ബന്ധപ്പെട്ട മറ്റ് മൂല്യങ്ങളുടെ ഒരു കൂട്ടം സൃഷ്ടിക്കാനും അവ അയയ്ക്കാനും കഴിയും. സെർവർ പ്രത്യേക കണക്ഷൻ നെഗോഷ്യേഷൻ സെഷനുകളിൽ. "ഗ്രി*ഗാ" മൂല്യങ്ങൾ സൃഷ്ടിക്കുകയും അയയ്ക്കുകയും ചെയ്യുന്നതിലൂടെ, സെർവർ പ്രതികരണത്തിലെ കാലതാമസത്തിലെ മാറ്റങ്ങൾ വിശകലനം ചെയ്യുന്നതിലൂടെ ഒരു ആക്രമണകാരിക്ക് പൂജ്യത്തിൽ നിന്ന് ആരംഭിക്കുന്ന പ്രാഥമിക കീകൾ സ്വീകരിക്കുന്നതിലേക്ക് നയിക്കുന്ന മൂല്യങ്ങൾ നിർണ്ണയിക്കാനാകും. അത്തരം മൂല്യങ്ങൾ നിർണ്ണയിച്ച ശേഷം, ആക്രമണകാരിക്ക് ഒരു കൂട്ടം സമവാക്യങ്ങൾ സൃഷ്ടിക്കാൻ കഴിയും решения മറഞ്ഞിരിക്കുന്ന നമ്പർ പ്രശ്നങ്ങൾ കൂടാതെ യഥാർത്ഥ പ്രാഥമിക കീ കണക്കാക്കുക.

OpenSSL കേടുപാടുകൾ ചുമതലപ്പെടുത്തി അപകടസാധ്യത കുറവായതിനാൽ, 1.0.2w പതിപ്പിലെ പ്രശ്നമുള്ള “TLS_DH_*” എന്ന സൈഫറുകളെ വേണ്ടത്ര പരിരക്ഷയില്ലാത്ത (“വീക്ക്-എസ്എസ്എൽ-സിഫറുകൾ”) ഡിഫോൾട്ടായി പ്രവർത്തനരഹിതമാക്കിയ സൈഫറുകളുടെ വിഭാഗത്തിലേക്ക് മാറ്റുന്നതിലേക്ക് ഈ പരിഹാരം ചുരുക്കി. . മോസില്ല ഡെവലപ്പർമാരും ഇതുതന്നെ ചെയ്തു. ഓഫ് ചെയ്തു ഫയർഫോക്സിൽ ഉപയോഗിക്കുന്ന NSS ലൈബ്രറിയിൽ, DH, DHE സൈഫർ സ്യൂട്ടുകൾ. ഫയർഫോക്സ് 78-ൽ, പ്രശ്നമുള്ള സൈഫറുകൾ പ്രവർത്തനരഹിതമാണ്. DH-നുള്ള Chrome പിന്തുണ 2016-ൽ നിർത്തലാക്കി. BearSSL, BoringSSL, Botan, Mbed TLS, s2n ലൈബ്രറികൾ എന്നിവ ഡിഎച്ച് സൈഫറുകളെയോ ഡിഎച്ച് സൈഫറുകളുടെ സ്റ്റാറ്റിക് വേരിയന്റുകളെയോ പിന്തുണയ്ക്കാത്തതിനാൽ പ്രശ്നം ബാധിക്കില്ല.

അധിക പ്രശ്നങ്ങൾ പ്രത്യേകം ശ്രദ്ധിക്കുന്നു (CVE-2020-5929) F5 BIG-IP ഉപകരണങ്ങളുടെ TLS സ്റ്റാക്കിൽ, ആക്രമണത്തെ കൂടുതൽ യാഥാർത്ഥ്യമാക്കുന്നു. പ്രത്യേകിച്ചും, പ്രാഥമിക കീയുടെ തുടക്കത്തിൽ പൂജ്യം ബൈറ്റിന്റെ സാന്നിധ്യത്തിൽ ഉപകരണങ്ങളുടെ പെരുമാറ്റത്തിലെ വ്യതിയാനങ്ങൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, കണക്കുകൂട്ടലുകളുടെ കൃത്യമായ ലേറ്റൻസി അളക്കുന്നതിനുപകരം ഇത് ഉപയോഗിക്കാം.

അവലംബം: opennet.ru