जेव्हा तुम्ही “क्रिप्टोग्राफी” हा शब्द ऐकता तेव्हा काही लोकांना त्यांचा वायफाय पासवर्ड, त्यांच्या आवडत्या वेबसाइटच्या पत्त्याशेजारी असलेला हिरवा पॅडलॉक आणि दुसर्‍याच्या ईमेलमध्ये जाणे किती कठीण आहे हे आठवते. इतरांना संक्षेप (DROWN, FREAK, POODLE...), स्टायलिश लोगो आणि तुमचा ब्राउझर तातडीने अपडेट करण्याची चेतावणी देऊन अलिकडच्या वर्षांत असुरक्षिततेची मालिका आठवते.

क्रिप्टोग्राफी हे सर्व कव्हर करते, परंतु सार दुसर्या मध्ये. मुद्दा असा आहे की साधी आणि गुंतागुंतीची एक बारीक रेषा आहे. काही गोष्टी करायला सोप्या असतात, पण परत एकत्र ठेवणे कठीण असते, जसे की अंडी फोडणे. इतर गोष्टी करणे सोपे असते पण जेव्हा एखादा छोटा, महत्त्वाचा, महत्त्वाचा भाग गहाळ असतो तेव्हा परत मिळवणे कठीण असते: उदाहरणार्थ, "महत्त्वाचा भाग" ही की असते तेव्हा लॉक केलेला दरवाजा उघडणे. क्रिप्टोग्राफी या परिस्थितींचा अभ्यास करते आणि त्यांचा सरावात कसा वापर केला जाऊ शकतो.

अलिकडच्या वर्षांत, क्रिप्टोग्राफिक हल्ल्यांचे संकलन वैज्ञानिक कागदपत्रांच्या सूत्रांनी भरलेले, चमकदार लोगोच्या प्राणीसंग्रहालयात बदलले आहे आणि सर्व काही तुटलेले आहे अशी सामान्य उदास भावना निर्माण झाली आहे. पण खरं तर, बरेच हल्ले काही सामान्य तत्त्वांवर आधारित आहेत आणि सूत्रांची अंतहीन पृष्ठे सहसा समजण्यास सोप्या कल्पनांसाठी उकळली जातात.

लेखांच्या या मालिकेत, आम्ही मूलभूत तत्त्वांवर भर देऊन क्रिप्टोग्राफिक हल्ल्यांचे विविध प्रकार पाहू. सर्वसाधारण अटींमध्ये आणि या क्रमाने नाही, परंतु आम्ही खालील गोष्टी कव्हर करू:

• मूलभूत धोरणे: ब्रूट फोर्स, वारंवारता विश्लेषण, इंटरपोलेशन, डाउनग्रेडिंग आणि क्रॉस-प्रोटोकॉल.
• ब्रांडेड भेद्यता: विचित्र, गुन्हा, पूडल, बुडणे, लॉगजाम.
• प्रगत धोरणे: ओरॅकल हल्ला (वोडेनॅट हल्ला, केल्सी हल्ला); मीट-इन-द-मिडल पद्धत, वाढदिवसाचा हल्ला, सांख्यिकीय पूर्वाग्रह (डिफरेंशियल क्रिप्टनालिसिस, इंटिग्रल क्रिप्टनालिसिस इ.).
• साइड चॅनेल हल्ले आणि त्यांचे जवळचे नातेवाईक, अपयश विश्लेषण पद्धती.
• सार्वजनिक की क्रिप्टोग्राफीवर हल्ले: क्यूब रूट, ब्रॉडकास्ट, संबंधित संदेश, कॉपरस्मिथ हल्ला, पोहलिग-हेलमन अल्गोरिदम, नंबर चाळणी, विनर हल्ला, ब्लेचेनबॅकर हल्ला.

या विशिष्ट लेखात केल्सीच्या हल्ल्यापर्यंत वरील सामग्री समाविष्ट आहे.

मूलभूत धोरणे

पुढील हल्ले या अर्थाने सोपे आहेत की ते जास्त तांत्रिक तपशीलाशिवाय जवळजवळ पूर्णपणे स्पष्ट केले जाऊ शकतात. जटिल उदाहरणे किंवा प्रगत वापर प्रकरणांमध्ये न जाता, प्रत्येक प्रकारच्या हल्ल्याचे सोप्या भाषेत स्पष्टीकरण देऊ या.

यापैकी काही हल्ले मोठ्या प्रमाणावर अप्रचलित झाले आहेत आणि बर्याच वर्षांपासून वापरल्या जात नाहीत. इतर जुने टाइमर आहेत जे अजूनही 21 व्या शतकातील संशयास्पद क्रिप्टोसिस्टम डेव्हलपर्सकडे नियमितपणे डोकावतात. आधुनिक क्रिप्टोग्राफीच्या युगाची सुरुवात IBM DES च्या आगमनाने झाली असे मानले जाऊ शकते, या यादीतील सर्व हल्ल्यांना तोंड देणारा पहिला सिफर.

साधे क्रूर बल

एन्क्रिप्शन स्कीममध्ये दोन भाग असतात: 1) एन्क्रिप्शन फंक्शन, जे की सह एकत्रित संदेश (प्लेनटेक्स्ट) घेते आणि नंतर एक एनक्रिप्टेड संदेश तयार करते - सिफरटेक्स्ट; 2) एक डिक्रिप्शन फंक्शन जे सिफरटेक्स्ट आणि की घेते आणि प्लेनटेक्स्ट तयार करते. एन्क्रिप्शन आणि डिक्रिप्शन दोन्ही की सह गणना करणे सोपे आणि त्याशिवाय गणना करणे कठीण असणे आवश्यक आहे.

आपण सिफरटेक्स्ट पाहतो असे गृहीत धरू आणि कोणत्याही अतिरिक्त माहितीशिवाय ते डिक्रिप्ट करण्याचा प्रयत्न करू (याला केवळ सिफरटेक्स्ट अटॅक म्हणतात). जर आम्हाला जादुईपणे योग्य की सापडली, तर परिणाम वाजवी संदेश असेल तर ती खरोखरच बरोबर आहे हे आम्ही सहजपणे सत्यापित करू शकतो.

लक्षात घ्या की येथे दोन गर्भित गृहीतके आहेत. प्रथम, आपल्याला डिक्रिप्शन कसे करावे हे माहित आहे, म्हणजेच क्रिप्टोसिस्टम कसे कार्य करते. क्रिप्टोग्राफीची चर्चा करताना हे एक मानक गृहीतक आहे. आक्रमणकर्त्यांपासून सायफरच्या अंमलबजावणीचे तपशील लपवणे हे अतिरिक्त सुरक्षा उपायासारखे वाटू शकते, परंतु आक्रमणकर्त्याने हे तपशील शोधल्यानंतर, ही अतिरिक्त सुरक्षा शांतपणे आणि अपरिवर्तनीयपणे गमावली जाते. असेच Kerchhoffs तत्त्व: शत्रूच्या हाती पडणाऱ्या यंत्रणेमुळे गैरसोय होऊ नये.

दुसरे, आम्ही असे गृहीत धरतो की योग्य की ही एकमेव की आहे जी वाजवी डिक्रिप्शनकडे नेईल. हे देखील एक वाजवी गृहितक आहे; सायफरटेक्स्ट की पेक्षा जास्त लांब आणि वाचनीय असल्यास ते समाधानी आहे. हे सहसा वास्तविक जगात घडते, वगळता प्रचंड अव्यवहार्य कळा किंवा इतर शेननिगन्स जे सर्वोत्तम बाजूला ठेवतात (आम्ही स्पष्टीकरण वगळले आहे हे तुम्हाला आवडत नसल्यास, कृपया प्रमेय ३.८ पहा. येथे).

वर दिलेले, एक धोरण उद्भवते: प्रत्येक संभाव्य की तपासा. याला ब्रूट फोर्स म्हणतात, आणि अशा हल्ल्याला सर्व व्यावहारिक सिफरच्या विरूद्ध कार्य करण्याची हमी दिली जाते - अखेरीस. उदाहरणार्थ, ब्रूट फोर्स हॅक करण्यासाठी पुरेसे आहे सीझर सिफर, एक प्राचीन सिफर जिथे की हे वर्णमालेचे एक अक्षर आहे, जे फक्त 20 संभाव्य कळा सूचित करते.

दुर्दैवाने क्रिप्टविश्लेषकांसाठी, की आकार वाढवणे हा क्रूर फोर्सविरूद्ध चांगला बचाव आहे. कीचा आकार जसजसा वाढत जातो, तसतसे संभाव्य कळांची संख्या वेगाने वाढते. आधुनिक की आकारांसह, साधे ब्रूट फोर्स पूर्णपणे अव्यवहार्य आहे. आम्हाला काय म्हणायचे आहे हे समजून घेण्यासाठी, 2019 च्या मध्यापर्यंत सर्वात वेगवान सुपरकॉम्प्युटर घेऊया: कळस IBM कडून, सुमारे 1017 ऑपरेशन्स प्रति सेकंदाच्या सर्वोच्च कामगिरीसह. आज, ठराविक की लांबी 128 बिट्स आहे, म्हणजे 2128 संभाव्य संयोजन. सर्व चाव्या शोधण्यासाठी, समिट सुपर कॉम्प्युटरला विश्वाच्या वयाच्या अंदाजे 7800 पट वेळ लागेल.

क्रूर फोर्स ही ऐतिहासिक कुतूहल मानली पाहिजे का? अजिबात नाही: क्रिप्टनालिसिस कूकबुकमध्ये हा एक आवश्यक घटक आहे. क्वचितच सायफर्स इतके कमकुवत असतात की ते केवळ एका चतुर हल्ल्याने तोडले जाऊ शकतात, एक किंवा दुसर्या प्रमाणात बळाचा वापर न करता. अनेक यशस्वी हॅक प्रथम लक्ष्य सायफर कमकुवत करण्यासाठी अल्गोरिदमिक पद्धती वापरतात आणि नंतर क्रूट फोर्स हल्ला करतात.

वारंवारता विश्लेषण

बहुतेक मजकूर निरर्थक नसतात. उदाहरणार्थ, इंग्रजी ग्रंथांमध्ये अनेक अक्षरे 'ई' आणि लेख 'द' आहेत; बायनरी फाइल्समध्ये, माहितीच्या तुकड्यांमध्ये पॅडिंग म्हणून अनेक शून्य बाइट्स असतात. वारंवारता विश्लेषण या वस्तुस्थितीचा फायदा घेणारा कोणताही हल्ला आहे.

या हल्ल्यासाठी असुरक्षित असलेल्या सायफरचे प्रामाणिक उदाहरण म्हणजे साधे प्रतिस्थापन सायफर. या सिफरमध्ये, की म्हणजे सर्व अक्षरे बदललेली एक टेबल आहे. उदाहरणार्थ, 'g' ची जागा 'h' ने, 'o' च्या जागी j ने, त्यामुळे 'go' हा शब्द 'hj' होतो. या सायफरला ब्रूट फोर्स करणे कठीण आहे कारण तेथे बरेच संभाव्य लुकअप टेबल आहेत. तुम्हाला गणितामध्ये स्वारस्य असल्यास, प्रभावी की लांबी सुमारे 88 बिट्स आहे: ते आहे
. परंतु वारंवारतेच्या विश्लेषणामुळे काम लवकर होते.

साध्या प्रतिस्थापन सायफरसह प्रक्रिया केलेल्या खालील सिफरटेक्स्टचा विचार करा:

XDYLY ALY UGLY XDWNKE WN DYAJYN ANF YALXD DGLAXWG XDAN ALY FLYAUX GR WN OGQL ZDWBGEGZDO

असल्याने Y वारंवार उद्भवते, अनेक शब्दांच्या शेवटी, आम्ही तात्पुरते असे गृहीत धरू शकतो की हे अक्षर आहे e:

XDeLe ALe UGLe XDWNKE WN DeAJeN ANF eALXD DGLAXWG XDAN ALe FLeAUX GR WN OGQL ZDWBGEGZDO

जोडपे XD अनेक शब्दांच्या सुरुवातीला पुनरावृत्ती. विशेषतः, संयोजन XDeLe स्पष्टपणे शब्द सूचित करते these किंवा there, म्हणून आम्ही सुरू ठेवतो:

TheLe ALe UGLe thWNKE WN heAJeN ANF eALth DGLAtWG पेक्षा ALe FLeAUt GR WN OGQL ZDWBGEGZDO

आपण पुढे असे गृहीत धरूया L च्याशी संबंधित आहे r, A - a आणि असेच. यास कदाचित काही प्रयत्न करावे लागतील, परंतु संपूर्ण क्रूर फोर्स हल्ल्याच्या तुलनेत, हा हल्ला काही वेळात मूळ मजकूर पुनर्संचयित करतो:

तुमच्या तत्वज्ञानात ज्या गोष्टी स्वप्नात पाहिल्या जातात त्यापेक्षा जास्त गोष्टी स्वर्गात आणि पृथ्वीवर आहेत

काहींसाठी, असे “क्रिप्टोग्राम” सोडवणे हा एक रोमांचक छंद आहे.

वारंवारता विश्लेषणाची कल्पना पहिल्या दृष्टीक्षेपात दिसते त्यापेक्षा अधिक मूलभूत आहे. आणि ते अधिक क्लिष्ट सायफरवर लागू होते. संपूर्ण इतिहासात, विविध सायफर डिझाईन्सने "पॉलीफॅबेटिक प्रतिस्थापन" वापरून अशा हल्ल्याचा प्रतिकार करण्याचा प्रयत्न केला आहे. येथे, कूटबद्धीकरण प्रक्रियेदरम्यान, अक्षर प्रतिस्थापन सारणी किल्लीवर अवलंबून असलेल्या जटिल परंतु अंदाज करण्यायोग्य मार्गांनी सुधारित केली जाते. हे सर्व सिफर एका वेळी तोडणे कठीण मानले जात होते; आणि तरीही माफक वारंवारता विश्लेषणाने अखेरीस त्या सर्वांचा पराभव केला.

इतिहासातील सर्वात महत्वाकांक्षी पॉलीअल्फाबेटिक सिफर, आणि कदाचित सर्वात प्रसिद्ध, द्वितीय विश्वयुद्धाचा एनिग्मा सायफर होता. त्याच्या पूर्ववर्तींच्या तुलनेत ते तुलनेने गुंतागुंतीचे होते, परंतु बर्‍याच कठोर परिश्रमानंतर, ब्रिटीश क्रिप्ट विश्लेषकांनी वारंवारता विश्लेषणाचा वापर करून ते क्रॅक केले. अर्थात, ते वर दर्शविल्याप्रमाणे एक मोहक हल्ला विकसित करू शकले नाहीत; त्यांना प्लेनटेक्स्ट आणि सिफरटेक्स्ट (तथाकथित "प्लेनटेक्स्ट अटॅक") च्या ज्ञात जोड्यांची तुलना करावी लागली, अगदी एनिग्मा वापरकर्त्यांना विशिष्ट संदेश एनक्रिप्ट करण्यासाठी आणि परिणामाचे विश्लेषण करण्यासाठी ("निवडलेला प्लेनटेक्स्ट अॅटॅक") प्रवृत्त करणे आवश्यक होते. परंतु यामुळे पराभूत शत्रू सैन्य आणि बुडलेल्या पाणबुड्यांचे भवितव्य सोपे झाले नाही.

या विजयानंतर, क्रिप्टनालिसिसच्या इतिहासातून वारंवारता विश्लेषण गायब झाले. आधुनिक डिजिटल युगातील सिफर अक्षरे नव्हे तर बिट्ससह कार्य करण्यासाठी डिझाइन केलेले आहेत. सर्वात महत्त्वाचे म्हणजे, हे सिफर नंतर काय म्हणून ओळखले जाऊ लागले याची गडद समज घेऊन डिझाइन केले गेले श्नियरचा कायदा: कोणीही एक एन्क्रिप्शन अल्गोरिदम तयार करू शकतो जो तो स्वतः खंडित करू शकत नाही. एनक्रिप्शन सिस्टमसाठी ते पुरेसे नाही दिसत होते कठीण: त्याची योग्यता सिद्ध करण्यासाठी, अनेक क्रिप्टविश्लेषकांकडून निर्दयी सुरक्षा पुनरावलोकन करावे लागेल जे सिफर क्रॅक करण्यासाठी सर्वतोपरी प्रयत्न करतील.

प्राथमिक गणना

प्रीकॉम हाइट्सचे काल्पनिक शहर घ्या, लोकसंख्या 200. शहरातील प्रत्येक घरामध्ये सरासरी $000 किमतीच्या मौल्यवान वस्तू आहेत, परंतु $30 पेक्षा जास्त किमतीचे नाही. प्रीकॉम मधील सिक्युरिटी मार्केट ACME इंडस्ट्रीजची मक्तेदारी आहे, जे पौराणिक Coyote™ वर्गाच्या दरवाजाचे कुलूप तयार करतात. तज्ञांच्या विश्लेषणानुसार, कोयोट-क्लास लॉक फक्त एक अतिशय क्लिष्ट काल्पनिक मशीनद्वारे तोडला जाऊ शकतो, ज्याच्या निर्मितीसाठी सुमारे पाच वर्षे आणि $000 गुंतवणूक आवश्यक आहे. शहर सुरक्षित आहे का?

बहुधा नाही. अखेरीस, एक बऱ्यापैकी महत्वाकांक्षी गुन्हेगार दिसेल. तो असा तर्क करेल: “होय, मला मोठा खर्च करावा लागेल. रुग्णाची पाच वर्षे प्रतीक्षा, आणि $50. पण माझे पूर्ण झाल्यावर, मला प्रवेश मिळेल या शहराची सर्व संपत्ती. जर मी माझे पत्ते बरोबर खेळले तर ही गुंतवणूक कितीतरी पटीने जास्त पैसे देईल.”

क्रिप्टोग्राफीमध्येही असेच आहे. एका विशिष्ट सायफरवरील हल्ले निर्दयी खर्च-लाभ विश्लेषणाच्या अधीन असतात. गुणोत्तर अनुकूल असल्यास, आक्रमण होणार नाही. परंतु एकाच वेळी अनेक संभाव्य बळींवर कार्य करणारे हल्ले जवळजवळ नेहमीच फेडतात, अशा बाबतीत सर्वोत्तम डिझाइन सराव म्हणजे ते पहिल्या दिवसापासून सुरू झाले असे मानणे. आमच्याकडे जे आहे ते मूलत: मर्फीच्या कायद्याची क्रिप्टोग्राफिक आवृत्ती आहे: "प्रत्यक्षात प्रणाली खंडित करणारी कोणतीही गोष्ट प्रणाली खंडित करेल."

प्रीकॉम्प्युटेशन अटॅकसाठी असुरक्षित असलेल्या क्रिप्टोसिस्टमचे सर्वात सोपे उदाहरण म्हणजे स्थिर-कीलेस सायफर. हे प्रकरण होते सीझरचे सायफर, जे फक्त वर्णमालेतील प्रत्येक अक्षर तीन अक्षरे पुढे सरकवते (टेबल लूप केलेले आहे, म्हणून वर्णमालेतील शेवटचे अक्षर तिसरे एनक्रिप्ट केलेले आहे). येथे पुन्हा Kerchhoffs तत्त्व लागू होते: एकदा प्रणाली हॅक झाल्यानंतर, ती कायमची हॅक केली जाते.

संकल्पना सोपी आहे. अगदी नवशिक्या क्रिप्टोसिस्टम डेव्हलपर देखील धोका ओळखेल आणि त्यानुसार तयारी करेल. क्रिप्टोग्राफीच्या उत्क्रांतीकडे पाहता, सीझर सायफरच्या पहिल्या सुधारित आवृत्त्यांपासून पॉलीअल्फाबेटिक सिफरच्या घटापर्यंत असे हल्ले बहुतेक सायफरसाठी अयोग्य होते. क्रिप्टोग्राफीच्या आधुनिक युगाच्या आगमनानेच असे हल्ले परत आले.

हा परतावा दोन घटकांमुळे आहे. प्रथम, पुरेशी जटिल क्रिप्टोसिस्टम शेवटी दिसू लागली, जिथे हॅकिंगनंतर शोषणाची शक्यता स्पष्ट नव्हती. दुसरे, क्रिप्टोग्राफी इतकी व्यापक झाली की क्रिप्टोग्राफीचे कोठे आणि कोणते भाग पुन्हा वापरायचे याबद्दल लाखो सामान्य लोक दररोज निर्णय घेतात. तज्ञांना जोखीम लक्षात येण्याआधी आणि अलार्म वाढवायला थोडा वेळ लागला.

प्रीकॉम्प्युटेशन अटॅक लक्षात ठेवा: लेखाच्या शेवटी आपण दोन वास्तविक जीवनातील क्रिप्टोग्राफिक उदाहरणे पाहू जिथे त्याने महत्त्वपूर्ण भूमिका बजावली.

प्रक्षेप

हा आहे प्रसिद्ध गुप्तहेर शेरलॉक होम्स, जो असहाय डॉ. वॉटसनवर इंटरपोलेशन हल्ला करतो:

मला लगेच अंदाज आला की तू अफगाणिस्तानातून आला आहेस... माझ्या विचारांची रेलचेल अशी होती: “हा माणूस प्रकाराने डॉक्टर आहे, पण त्याच्याकडे लष्करी भार आहे. तर, लष्करी डॉ. तो नुकताच उष्ण कटिबंधातून आला आहे - त्याचा चेहरा गडद आहे, परंतु त्याच्या त्वचेची ही नैसर्गिक सावली नाही, कारण त्याचे मनगट जास्त पांढरे आहेत. चेहरा खरचटलेला आहे - साहजिकच, त्याला खूप त्रास झाला आहे आणि आजारपणाने ग्रासले आहे. त्याच्या डाव्या हाताला जखम झाली होती - त्याने ते गतिहीन आणि थोडेसे अनैसर्गिकपणे धरले आहे. उष्ण कटिबंधात इंग्रज लष्करी डॉक्टर कोठे त्रास सहन करून जखमी होऊ शकतात? अर्थात अफगाणिस्तानात. विचारांच्या संपूर्ण ट्रेनला एक सेकंदही लागला नाही. आणि म्हणून मी म्हणालो की तू अफगाणिस्तानातून आला आहेस, आणि तुला आश्चर्य वाटले.

होम्स प्रत्येक पुराव्यातून वैयक्तिकरित्या फार कमी माहिती काढू शकला. सर्वांचा एकत्रित विचार करूनच तो आपल्या निष्कर्षापर्यंत पोहोचू शकला. इंटरपोलेशन अटॅक समान कीच्या परिणामी ज्ञात प्लेनटेक्स्ट आणि सिफरटेक्स्ट जोड्यांचे परीक्षण करून समान कार्य करते. प्रत्येक जोडीमधून, वैयक्तिक निरीक्षणे काढली जातात ज्यामुळे की बद्दल सामान्य निष्कर्ष काढता येतो. हे सर्व निष्कर्ष अस्पष्ट आहेत आणि जोपर्यंत ते अचानक गंभीर वस्तुमानापर्यंत पोहोचत नाहीत आणि एकमेव संभाव्य निष्कर्षापर्यंत पोहोचत नाहीत तोपर्यंत ते निरुपयोगी वाटतात: ते कितीही अविश्वसनीय असले तरीही ते खरे असले पाहिजेत. यानंतर, एकतर की उघड होते किंवा डिक्रिप्शन प्रक्रिया इतकी शुद्ध होते की ती प्रतिकृती बनवता येते.

इंटरपोलेशन कसे कार्य करते हे एका साध्या उदाहरणाने समजावून घेऊ. समजा आम्हाला आमच्या शत्रू बॉबची वैयक्तिक डायरी वाचायची आहे. "अ मॉक ऑफ क्रिप्टोग्राफी" या नियतकालिकातील जाहिरातीतून शिकलेल्या एका साध्या क्रिप्टोसिस्टमचा वापर करून तो त्याच्या डायरीतील प्रत्येक अंक एन्क्रिप्ट करतो. सिस्टीम याप्रमाणे कार्य करते: बॉब त्याला आवडणारे दोन नंबर निवडतो: и . आतापासून, कोणताही नंबर एनक्रिप्ट करण्यासाठी , ते गणना करते . उदाहरणार्थ, बॉबने निवडल्यास и , नंतर संख्या म्हणून एन्क्रिप्ट केले जाईल .

28 डिसेंबर रोजी बॉब त्याच्या डायरीत काहीतरी खाजवत असल्याचे आमच्या लक्षात आले. तो पूर्ण झाल्यावर, आम्ही ते शांतपणे उचलू आणि शेवटची नोंद पाहू:

तारीखः 235/520

प्रिय रोजनिशी,

आजचा दिवस चांगला गेला. च्या माध्यमातून 64 आज माझी अलिसासोबत डेट आहे, जी एका अपार्टमेंटमध्ये राहते 843. मला खरोखर वाटते की ती असू शकते 26!

आम्ही बॉबला त्याच्या तारखेला फॉलो करण्याबद्दल खूप गंभीर असल्यामुळे (या परिस्थितीत आम्ही दोघेही 15 वर्षांचे आहोत), तारीख तसेच अॅलिसचा पत्ता जाणून घेणे महत्त्वाचे आहे. सुदैवाने, आमच्या लक्षात आले आहे की बॉबची क्रिप्टोसिस्टम इंटरपोलेशन हल्ल्यासाठी असुरक्षित आहे. आम्हाला कदाचित माहित नसेल и , परंतु आम्हाला आजची तारीख माहित आहे, म्हणून आमच्याकडे दोन प्लेनटेक्स्ट-सिफर टेक्स्ट जोड्या आहेत. बहुदा, आम्हाला ते माहित आहे मध्ये एनक्रिप्ट केलेले आणि - मध्ये . हे आम्ही खाली लिहू:

आम्ही 15 वर्षांचे असल्याने, आम्हाला दोन अज्ञात असलेल्या दोन समीकरणांची प्रणाली आधीच माहित आहे, जी या परिस्थितीत शोधण्यासाठी पुरेसे आहे. и कोणत्याही समस्यांशिवाय. प्रत्येक प्लेनटेक्स्ट-सिफरटेक्स्ट जोडी बॉबच्या कीवर मर्यादा ठेवते आणि दोन मर्यादा एकत्र की पूर्णपणे पुनर्प्राप्त करण्यासाठी पुरेसे आहेत. आमच्या उदाहरणात उत्तर आहे и (वर , त्यामुळे 26 डायरीतील शब्द 'एक' या शब्दाशी संबंधित आहे, म्हणजेच "तेच एक" - अंदाजे. लेन).

इंटरपोलेशन हल्ले अर्थातच अशा साध्या उदाहरणांपुरते मर्यादित नाहीत. प्रत्येक क्रिप्टोसिस्टम जी चांगल्या प्रकारे समजल्या जाणार्‍या गणितीय ऑब्जेक्ट आणि पॅरामीटर्सच्या सूचीपर्यंत कमी करते, इंटरपोलेशन हल्ल्याचा धोका असतो - ऑब्जेक्ट जितका अधिक समजेल तितका धोका जास्त असतो.

क्रिप्टोग्राफी ही "शक्य तितक्या कुरूप गोष्टींची रचना करण्याची कला" आहे, अशी तक्रार नवोदित करतात. इंटरपोलेशन हल्ले बहुधा मुख्यत्वे दोषी आहेत. बॉब एकतर एक मोहक गणिती डिझाइन वापरू शकतो किंवा अॅलिससोबत त्याची तारीख खाजगी ठेवू शकतो - परंतु अरेरे, तुमच्याकडे हे दोन्ही प्रकारे शक्य नाही. जेव्हा आपण सार्वजनिक की क्रिप्टोग्राफीच्या विषयावर पोहोचू तेव्हा हे विपुलपणे स्पष्ट होईल.

क्रॉस प्रोटोकॉल/डाउनग्रेड

नाऊ यू सी मी (2013) मध्ये, भ्रमनिरास करणाऱ्यांचा एक गट भ्रष्ट विमा प्रमुख आर्थर ट्रेसलरला त्याच्या संपूर्ण संपत्तीतून फसवण्याचा प्रयत्न करतो. आर्थरच्या बँक खात्यात प्रवेश मिळवण्यासाठी, भ्रमनिरास करणाऱ्यांनी एकतर त्याचे वापरकर्तानाव आणि संकेतशब्द प्रदान करणे आवश्यक आहे किंवा त्याला बँकेत वैयक्तिकरित्या उपस्थित राहण्यास आणि योजनेत भाग घेण्यास भाग पाडणे आवश्यक आहे.

दोन्ही पर्याय खूप कठीण आहेत; मुलांना स्टेजवर परफॉर्म करण्याची सवय आहे आणि गुप्तचर ऑपरेशन्समध्ये भाग घेत नाही. म्हणून ते तिसरा संभाव्य पर्याय निवडतात: त्यांचा साथीदार बँकेला कॉल करतो आणि आर्थर असल्याचे भासवतो. ओळख पडताळण्यासाठी बँक अनेक प्रश्न विचारते, जसे की काकांचे नाव आणि पहिल्या पाळीव प्राण्याचे नाव; आमचे नायक आगाऊ हुशार सोशल इंजिनिअरिंगचा वापर करून ते आर्थरकडून ही माहिती सहज काढतात. या बिंदूपासून, उत्कृष्ट पासवर्ड सुरक्षितता यापुढे महत्त्वाची नाही.

(आम्ही वैयक्तिकरित्या सत्यापित आणि सत्यापित केलेल्या एका शहरी दंतकथेनुसार, क्रिप्टोग्राफर एली बीहॅमला एकदा एका बँक टेलरचा सामना करावा लागला ज्याने सुरक्षा प्रश्न सेट करण्याचा आग्रह धरला होता. जेव्हा टेलरने त्याच्या आजीचे नाव विचारले तेव्हा, बीहमने हुकूम देण्यास सुरुवात केली: “कॅपिटल एक्स, लहान y, तीन... ").

क्रिप्टोग्राफीमध्ये हे समान आहे, जर दोन क्रिप्टोग्राफिक प्रोटोकॉल समान मालमत्तेचे संरक्षण करण्यासाठी समांतर वापरले जातात आणि एक दुसऱ्यापेक्षा खूपच कमकुवत आहे. परिणामी प्रणाली क्रॉस-प्रोटोकॉल हल्ल्यासाठी असुरक्षित बनते, जिथे मजबूत प्रोटोकॉलला स्पर्श न करता बक्षीस मिळविण्यासाठी कमकुवत प्रोटोकॉलवर हल्ला केला जातो.

काही जटिल प्रकरणांमध्ये, कमकुवत प्रोटोकॉल वापरून सर्व्हरशी संपर्क साधणे पुरेसे नाही, परंतु कायदेशीर क्लायंटचा अनैच्छिक सहभाग आवश्यक आहे. हे तथाकथित डाउनग्रेड हल्ला वापरून आयोजित केले जाऊ शकते. हा हल्ला समजून घेण्यासाठी, चित्रपटापेक्षा आपल्या भ्रमनिरास्यांना अधिक कठीण काम आहे असे मानू या. समजू या की बँक कर्मचारी (कॅशियर) आणि आर्थर यांना काही अनपेक्षित परिस्थितींचा सामना करावा लागला, परिणामी पुढील संवाद झाला:

चोरटा: नमस्कार? हा आर्थर ट्रेसलर आहे. मला माझा पासवर्ड रीसेट करायचा आहे.

रोखपाल: मस्त. कृपया तुमचे वैयक्तिक गुप्त कोड बुक, पृष्ठ 28, शब्द 3 वर एक नजर टाका. या विशिष्ट शब्दाचा वापर करून खालील सर्व संदेश कूटबद्ध केले जातील. PQJGH. लोटजनम पीजीजीवाय एमएक्सव्हीआरएल झेडएलक्यू एसआरआययू एचएचएनएमएलपीपीव्ही…

चोरटा: अहो, अहो, थांबा, थांबा. हे खरोखर आवश्यक आहे का? आपण सामान्य माणसांसारखे बोलू शकत नाही का?

रोखपाल: मी हे करण्याची शिफारस करत नाही.

चोरटा: मी फक्त... बघ, माझा दिवस खराब होता, ठीक आहे? मी एक व्हीआयपी क्लायंट आहे आणि मी या मूर्ख कोड बुक्सचा शोध घेण्याच्या मूडमध्ये नाही.

रोखपाल: ठीक आहे. तुमचा आग्रह असेल तर मिस्टर ट्रेसलर. तुम्हाला काय हवे आहे?

चोरटा: कृपया, मी माझे सर्व पैसे आर्थर ट्रेसलर नॅशनल व्हिक्टिम्स फंडला दान करू इच्छितो.

(विराम द्या).

रोखपाल: हे आता स्पष्ट आहे. मोठ्या व्यवहारांसाठी कृपया तुमचा पिन द्या.

चोरटा: माझे काय?

रोखपाल: तुमच्या वैयक्तिक विनंतीनुसार, या आकाराच्या व्यवहारांना मोठ्या व्यवहारांसाठी पिन आवश्यक आहे. तुम्ही तुमचे खाते उघडल्यावर हा कोड तुम्हाला देण्यात आला होता.

चोरटा:... मी ते हरवले. हे खरोखर आवश्यक आहे का? आपण फक्त करार मंजूर करू शकत नाही?

रोखपाल: नाही. मला माफ करा, मिस्टर ट्रेसलर. पुन्हा, हे तुम्ही विचारलेले सुरक्षा उपाय आहे. तुम्हाला हवे असल्यास, आम्ही तुमच्या मेलबॉक्समध्ये नवीन पिन कोड पाठवू शकतो.

आमच्या नायकांनी ऑपरेशन पुढे ढकलले. पिन ऐकण्याच्या आशेने ते ट्रेसलरचे अनेक मोठे व्यवहार ऐकून घेतात; परंतु प्रत्येक वेळी मनोरंजक काहीही बोलण्यापूर्वी संभाषण कोडेड गब्बरिशमध्ये बदलते. शेवटी, एक चांगला दिवस, योजना कार्यान्वित केली जाते. ते त्या क्षणाची धीराने वाट पाहतात जेव्हा ट्रेसलरला फोनवर मोठा व्यवहार करावा लागतो, तो लाइनवर येतो आणि मग...

ट्रेसलर: नमस्कार. कृपया मला दूरस्थ व्यवहार पूर्ण करायचा आहे.

रोखपाल: मस्त. कृपया तुमचे वैयक्तिक गुप्त कोड बुक, पृष्ठ पहा...

(चोरदार बटण दाबतो; रोखपालाचा आवाज न समजण्याजोग्या आवाजात बदलतो).

रोखपाल: - #@$#@$#*@$$@#* हा शब्द की म्हणून कूटबद्ध केला जाईल. AAAYRR PLRQRZ MMNJK Lojban…

ट्रेसलर: सॉरी, मला नीट समजले नाही. पुन्हा? कोणत्या पानावर? कोणता शब्द?

रोखपाल: हे पेज आहे @#$@#*$)#*#@()#@$(#@*$(#@*.

ट्रेसलर: काय?

रोखपाल: शब्द क्रमांक वीस @$#@$#%#$.

ट्रेसलर: गंभीरपणे! आधीच पुरे! तुम्ही आणि तुमचा सुरक्षा प्रोटोकॉल एक प्रकारची सर्कस आहात. मला माहित आहे की तुम्ही माझ्याशी सामान्यपणे बोलू शकता.

रोखपाल: मी शिफारस करत नाही…

ट्रेसलर: आणि मी तुम्हाला माझा वेळ वाया घालवण्याचा सल्ला देत नाही. जोपर्यंत तुम्ही तुमच्या फोन लाइन समस्यांचे निराकरण करत नाही तोपर्यंत मला याबद्दल अधिक ऐकायचे नाही. आम्ही हा करार अंतिम करू शकतो की नाही?

रोखपाल:… होय. ठीक आहे. तुम्हाला काय हवे आहे?

ट्रेसलर: मी लॉर्ड बिझनेस इन्व्हेस्टमेंट, खाते क्रमांकावर $20 हस्तांतरित करू इच्छितो...

रोखपाल: कृपया एक मिनिट. खूप मोठी गोष्ट आहे. मोठ्या व्यवहारांसाठी कृपया तुमचा पिन द्या.

ट्रेसलर: काय? अरे, नक्की. १२३४.

येथे एक अधोमुखी हल्ला आहे. कमकुवत प्रोटोकॉल "फक्त थेट बोला" म्हणून कल्पना केली गेली होती पर्याय आणीबाणीच्या परिस्थितीत. आणि तरीही आम्ही येथे आहोत.

तुम्हाला कदाचित आश्चर्य वाटेल की त्यांच्या उजव्या मनाने वर वर्णन केलेल्या प्रमाणे "अन्यथा विचारले जाईपर्यंत सुरक्षित" प्रणाली कोण तयार करेल. परंतु ज्याप्रमाणे एक काल्पनिक बँक क्रिप्टोग्राफी आवडत नसलेल्या ग्राहकांना टिकवून ठेवण्यासाठी जोखीम पत्करते, त्याचप्रमाणे सामान्यत: सिस्टम सहसा उदासीन किंवा अगदी सुरक्षेच्या अगदी प्रतिकूल असलेल्या आवश्यकतांकडे आकर्षित होतात.

2 मध्ये SSLv1995 प्रोटोकॉलमध्ये हेच घडले होते. यूएस सरकारने क्रिप्टोग्राफीला परकीय आणि देशांतर्गत शत्रूंपासून दूर ठेवणारे शस्त्र म्हणून फार पूर्वीपासून पाहण्यास सुरुवात केली आहे. कोडचे तुकडे वैयक्तिकरित्या युनायटेड स्टेट्समधून निर्यात करण्यासाठी मंजूर केले गेले होते, बहुतेकदा अल्गोरिदम जाणूनबुजून कमकुवत केल्याच्या अटीसह. नेटस्केप, सर्वात लोकप्रिय ब्राउझर, नेटस्केप नेव्हिगेटरचा विकासक, याला SSLv2 साठी केवळ अंतर्निहित असुरक्षित 512-बिट RSA की (आणि RC40 साठी 4-बिट) परवानगी देण्यात आली होती.

सहस्राब्दीच्या अखेरीस, नियम शिथिल झाले आणि आधुनिक एन्क्रिप्शनमध्ये प्रवेश मोठ्या प्रमाणावर उपलब्ध झाला. तथापि, क्लायंट आणि सर्व्हरने वर्षानुवर्षे कमकुवत "निर्यात" क्रिप्टोग्राफीचे समर्थन केले आहे कारण समान जडत्वामुळे कोणत्याही वारसा प्रणालीसाठी समर्थन कायम आहे. क्लायंटचा असा विश्वास होता की त्यांना कदाचित अशा सर्व्हरचा सामना करावा लागेल जो इतर कशासही सपोर्ट करत नाही. सर्व्हरने तेच केले. अर्थात, SSL प्रोटोकॉल असे ठरवते की क्लायंट आणि सर्व्हरने कधीही कमकुवत प्रोटोकॉल वापरू नये, जेव्हा एखादा चांगला उपलब्ध असेल. पण हाच आधार ट्रेसलर आणि त्याच्या बँकेला लागू झाला.

या सिद्धांताने 2015 मध्ये एसएसएल प्रोटोकॉलच्या सुरक्षिततेला धक्का देणारे दोन हाय-प्रोफाइल हल्ल्यांमध्ये प्रवेश केला, दोन्ही मायक्रोसॉफ्ट संशोधकांनी शोधले आणि INRIA. प्रथम, FREAK हल्ल्याचे तपशील फेब्रुवारीमध्ये उघड झाले, त्यानंतर तीन महिन्यांनंतर Logjam नावाचा आणखी एक समान हल्ला झाला, ज्याची आम्ही सार्वजनिक की क्रिप्टोग्राफीवरील हल्ल्यांकडे पुढे जाताना अधिक तपशीलवार चर्चा करू.

असुरक्षितता विचित्र ("स्मॅक TLS" म्हणूनही ओळखले जाते) जेव्हा संशोधकांनी TLS क्लायंट/सर्व्हर अंमलबजावणीचे विश्लेषण केले आणि एक उत्सुक बग शोधला तेव्हा प्रकाशात आला. या अंमलबजावणीमध्ये, जर क्लायंटने कमकुवत एक्सपोर्ट क्रिप्टोग्राफी वापरण्यास सांगितले नाही, परंतु सर्व्हर तरीही अशा कीसह प्रतिसाद देत असेल, तर क्लायंट "ओह वेल" म्हणतो आणि कमकुवत सायफर सूटवर स्विच करतो.

त्या वेळी, निर्यात क्रिप्टोग्राफी मोठ्या प्रमाणावर कालबाह्य आणि मर्यादेबाहेर मानली जात होती, त्यामुळे हा हल्ला संपूर्ण धक्का म्हणून आला आणि व्हाईट हाऊस, IRS आणि NSA साइट्ससह अनेक महत्त्वाच्या डोमेनवर परिणाम झाला. याहूनही वाईट, हे दिसून आले की अनेक असुरक्षित सर्व्हर प्रत्येक सत्रासाठी नवीन तयार करण्याऐवजी समान की पुन्हा वापरून कार्यप्रदर्शन ऑप्टिमाइझ करत होते. यामुळे, प्रोटोकॉल अवनत केल्यानंतर, प्री-कॉम्प्युटेशन हल्ला करणे शक्य झाले: एक की क्रॅक करणे तुलनेने महाग होते (प्रकाशनाच्या वेळी $100 आणि 12 तास), परंतु कनेक्शनवर हल्ला करण्याचा व्यावहारिक खर्च लक्षणीयरीत्या कमी झाला. एकदा सर्व्हर की निवडणे आणि त्या क्षणापासून त्यानंतरच्या सर्व कनेक्शनसाठी एन्क्रिप्शन क्रॅक करणे पुरेसे आहे.

आणि आम्ही पुढे जाण्यापूर्वी, एक प्रगत हल्ला आहे ज्याचा उल्लेख करणे आवश्यक आहे ...

ओरॅकल हल्ला

Moxie Marlinspike क्रॉस-प्लॅटफॉर्म क्रिप्टो मेसेजिंग अॅप सिग्नलचे जनक म्हणून प्रसिद्ध; परंतु आम्हाला वैयक्तिकरित्या त्याचा एक कमी ज्ञात नवकल्पना आवडतो - क्रिप्टोग्राफिक डूमचे तत्त्व (क्रिप्टोग्राफिक डूम प्रिन्सिपल). थोडेसे स्पष्ट करण्यासाठी, आम्ही असे म्हणू शकतो: “जर प्रोटोकॉल कार्य करतो कोणत्याही संभाव्य दुर्भावनापूर्ण स्त्रोताकडून आलेल्या संदेशावर क्रिप्टोग्राफिक ऑपरेशन करते आणि परिणामानुसार वेगळ्या पद्धतीने वागते, ते नशिबात आहे." किंवा तीक्ष्ण स्वरूपात: "प्रक्रियेसाठी शत्रूकडून माहिती घेऊ नका, आणि जर तुम्हाला करायची असेल तर किमान परिणाम दर्शवू नका."

बफर ओव्हरफ्लो, कमांड इंजेक्शन्स आणि यासारख्या गोष्टी बाजूला ठेवूया; ते या चर्चेच्या पलीकडे आहेत. प्रोटोकॉल अपेक्षेप्रमाणे वागतो या वस्तुस्थितीमुळे "डूम तत्त्व" चे उल्लंघन केल्याने गंभीर क्रिप्टोग्राफी हॅक होते.

उदाहरण म्हणून, असुरक्षित प्रतिस्थापन सायफरसह एक काल्पनिक डिझाइन घेऊ, आणि नंतर संभाव्य आक्रमण प्रदर्शित करू. वारंवारता विश्लेषण वापरून प्रतिस्थापन सायफरवर हल्ला झालेला आम्ही आधीच पाहिला आहे, तो फक्त "समान सायफर तोडण्याचा दुसरा मार्ग" नाही. उलटपक्षी, ओरॅकल हल्ले हा एक अधिक आधुनिक शोध आहे, ज्या अनेक परिस्थितींमध्ये वारंवारता विश्लेषण अयशस्वी ठरते, आणि आम्ही पुढील भागात याचे प्रात्यक्षिक पाहू. येथे साधा सायफर फक्त उदाहरण स्पष्ट करण्यासाठी निवडला आहे.

त्यामुळे अॅलिस आणि बॉब एक ​​साधा प्रतिस्थापन सायफर वापरून संप्रेषण करतात ज्याला फक्त त्यांना माहीत असलेली की वापरतात. ते संदेशांच्या लांबीबद्दल खूप कठोर आहेत: ते अगदी 20 वर्ण लांब आहेत. म्हणून त्यांनी मान्य केले की जर एखाद्याला लहान संदेश पाठवायचा असेल तर त्याने संदेशाच्या शेवटी काही डमी मजकूर जोडला पाहिजे जेणेकरून तो 20 अक्षरांचा होईल. काही चर्चेनंतर, त्यांनी ठरवले की ते फक्त खालील डमी मजकूर स्वीकारतील: a, bb, ccc, dddd इ. अशा प्रकारे, कोणत्याही आवश्यक लांबीचा डमी मजकूर ओळखला जातो.

जेव्हा अॅलिस किंवा बॉब संदेश प्राप्त करतात, तेव्हा ते प्रथम संदेशाची लांबी (२० वर्ण) योग्य आहे आणि प्रत्यय योग्य डमी मजकूर आहे हे तपासतात. असे नसल्यास, ते योग्य त्रुटी संदेशासह प्रतिसाद देतात. मजकूराची लांबी आणि डमी मजकूर ठीक असल्यास, प्राप्तकर्ता संदेश स्वतः वाचतो आणि एक एनक्रिप्टेड प्रतिसाद पाठवतो.

हल्ल्यादरम्यान, हल्लेखोर बॉबची तोतयागिरी करतो आणि अॅलिसला बनावट संदेश पाठवतो. संदेश पूर्ण मूर्खपणाचे आहेत - आक्रमणकर्त्याकडे किल्ली नाही, आणि म्हणून अर्थपूर्ण संदेश खोटे करू शकत नाही. परंतु प्रोटोकॉल डूम तत्त्वाचे उल्लंघन करत असल्याने, हल्लेखोर अजूनही अॅलिसला मुख्य माहिती उघड करण्यामध्ये अडकवू शकतो, खाली दर्शविल्याप्रमाणे.

चोरटा: PREWF ZHJKL MMMN. LA

अॅलिस: अवैध डमी मजकूर.

चोरटा: PREWF ZHJKL MMMN. LB

अॅलिस: अवैध डमी मजकूर.

चोरटा: PREWF ZHJKL MMMN. LC

अॅलिस: ILCT? TLCT RUWO PUT KCAW CPS OWPOW!

एलिसने नुकतेच काय म्हटले आहे याची चोराला कल्पना नाही, परंतु प्रतीक लक्षात घेते C जुळले पाहिजे a, कारण अॅलिसने डमी मजकूर स्वीकारला आहे.

चोरटा: REWF ZHJKL MMMN. LAA

अॅलिस: अवैध डमी मजकूर.

चोरटा: REWF ZHJKL MMMN. LBB

अॅलिस: अवैध डमी मजकूर.

अनेक प्रयत्नांनंतर...

चोरटा: REWF ZHJKL MMMN. LGG

अॅलिस: अवैध डमी मजकूर.

चोरटा: REWF ZHJKL MMMN. LHH

अॅलिस: TLQO JWCRO FQAW SUY LCR C OWQXYJW. IW PWWR TU TCFA CHUYT TLQO JWFCTQUPOLQZ.

पुन्हा, हल्लेखोराला अॅलिसने नुकतेच काय म्हटले याची कल्पना नाही, परंतु अॅलिसने डमी मजकूर स्वीकारल्यापासून H बरोबर b जुळले पाहिजे असे नमूद केले.

आणि आक्रमणकर्त्याला प्रत्येक पात्राचा अर्थ कळेपर्यंत.

पहिल्या दृष्टीक्षेपात, पद्धत निवडलेल्या प्लेनटेक्स्ट आक्रमणासारखी दिसते. शेवटी, आक्रमणकर्ता सिफरटेक्स्ट निवडतो आणि सर्व्हर आज्ञाधारकपणे त्यावर प्रक्रिया करतो. वास्तविक जगामध्ये या हल्ल्यांना व्यवहार्य बनवणारा मुख्य फरक हा आहे की आक्रमणकर्त्याला वास्तविक प्रतिलिपीमध्ये प्रवेश करण्याची आवश्यकता नाही—एक सर्व्हर प्रतिसाद, अगदी "अवैध डमी मजकूर" सारखा निरुपद्रवी देखील पुरेसा आहे.

हा विशिष्ट हल्ला उपदेशात्मक असला तरी, "डमी मजकूर" योजना, वापरलेली विशिष्ट क्रिप्टोसिस्टम किंवा हल्लेखोराने पाठवलेल्या संदेशांचा अचूक क्रम यावर जास्त लक्ष ठेवू नका. अॅलिस प्लेनटेक्स्टच्या गुणधर्मांच्या आधारावर वेगळ्या पद्धतीने कशी प्रतिक्रिया देते आणि संबंधित सायफरटेक्स्ट खरोखर विश्वासार्ह पक्षाकडून आले आहे याची पडताळणी न करता ती करते ही मूळ कल्पना आहे. अशा प्रकारे, अॅलिस आक्रमणकर्त्याला तिच्या उत्तरांमधून गुप्त माहिती पिळून काढण्याची परवानगी देते.

या परिस्थितीत बरेच काही बदलले जाऊ शकते. अॅलिस ज्या प्रतिकांवर प्रतिक्रिया देते, किंवा तिच्या वागणुकीतील खूप फरक, किंवा वापरलेली क्रिप्टोसिस्टीम. पण तत्त्व तेच राहील आणि एकूणच हल्ला कोणत्या ना कोणत्या स्वरूपात व्यवहार्य राहील. या हल्ल्याच्या मूलभूत अंमलबजावणीमुळे अनेक सुरक्षा बग उघड करण्यात मदत झाली, ज्या आम्ही लवकरच पाहू; पण प्रथम काही सैद्धांतिक धडे शिकायचे आहेत. वास्तविक आधुनिक सिफरवर कार्य करू शकणार्‍या हल्ल्यात ही काल्पनिक "एलिस स्क्रिप्ट" कशी वापरायची? हे अगदी सिद्धांतानुसार शक्य आहे का?

1998 मध्ये, स्विस क्रिप्टोग्राफर डॅनियल ब्लेचेनबॅकर यांनी या प्रश्नाचे होकारार्थी उत्तर दिले. त्याने विशिष्ट संदेश योजना वापरून मोठ्या प्रमाणात वापरल्या जाणार्‍या सार्वजनिक की क्रिप्टोसिस्टम RSA वर ओरॅकल हल्ला दाखवला. काही RSA अंमलबजावणीमध्ये, प्लेनटेक्स्ट योजनेशी जुळतो की नाही यावर अवलंबून सर्व्हर वेगवेगळ्या त्रुटी संदेशांसह प्रतिसाद देतो; हल्ला करण्यासाठी हे पुरेसे होते.

चार वर्षांनंतर, 2002 मध्ये, फ्रेंच क्रिप्टोग्राफर सर्ज वॉडेने यांनी वरील अॅलिस परिदृश्यात वर्णन केल्याप्रमाणे जवळजवळ एक ओरॅकल हल्ला प्रदर्शित केला - काल्पनिक सायफरऐवजी, त्याने आधुनिक सायफरचा एक संपूर्ण आदरणीय वर्ग तोडला ज्याचा लोक प्रत्यक्षात वापर करतात. विशेषतः, Vaudenay चा हल्ला फिक्स्ड इनपुट साइफ सिफर ("ब्लॉक सिफर") ला लक्ष्य करतो जेव्हा ते तथाकथित "CBC एन्क्रिप्शन मोड" मध्ये वापरले जातात आणि विशिष्ट लोकप्रिय पॅडिंग स्कीमसह, मूलतः अॅलिस परिस्थितीमधील समतुल्य.

तसेच 2002 मध्ये, अमेरिकन क्रिप्टोग्राफर जॉन केल्सी - सह-लेखक ट्विफिश — संदेश संकुचित करणार्‍या आणि नंतर कूटबद्ध करणार्‍या प्रणालींवर विविध ओरॅकल हल्ले प्रस्तावित केले. यापैकी सर्वात लक्षणीय असा हल्ला होता ज्याने सायफरटेक्स्टच्या लांबीवरून प्लेनटेक्स्टच्या मूळ लांबीचा अंदाज लावणे शक्य होते याचा फायदा घेतला. सिद्धांततः, हे ओरॅकल आक्रमणास अनुमती देते जे मूळ प्लेनटेक्स्टचे काही भाग पुनर्प्राप्त करते.

खाली आम्ही Vaudenay आणि Kelsey हल्ल्यांचे अधिक तपशीलवार वर्णन देतो (जेव्हा आम्ही सार्वजनिक की क्रिप्टोग्राफीवरील हल्ल्यांकडे जाऊ तेव्हा आम्ही ब्लेचेनबॅकर हल्ल्याचे अधिक तपशीलवार वर्णन देऊ). आमचे सर्वोत्तम प्रयत्न असूनही, मजकूर काहीसा तांत्रिक बनतो; त्यामुळे वरील तुमच्यासाठी पुरेसे असल्यास, पुढील दोन विभाग वगळा.

वोडेनचा हल्ला

Vaudenay हल्ला समजून घेण्यासाठी, आम्हाला प्रथम ब्लॉक सिफर आणि एन्क्रिप्शन मोडबद्दल थोडे अधिक बोलणे आवश्यक आहे. नमूद केल्याप्रमाणे, "ब्लॉक सायफर" हा एक सिफर आहे जो विशिष्ट निश्चित लांबीची ("ब्लॉक लांबी") की आणि इनपुट घेतो आणि त्याच लांबीचा एनक्रिप्टेड ब्लॉक तयार करतो. ब्लॉक सिफर मोठ्या प्रमाणावर वापरले जातात आणि ते तुलनेने सुरक्षित मानले जातात. आता सेवानिवृत्त डीईएस, पहिला आधुनिक सिफर मानला जातो, तो ब्लॉक सायफर होता. वर नमूद केल्याप्रमाणे, एईएससाठी हेच खरे आहे, जे आज मोठ्या प्रमाणावर वापरले जाते.

दुर्दैवाने, ब्लॉक सिफरमध्ये एक स्पष्ट कमकुवतपणा आहे. ठराविक ब्लॉक आकार 128 बिट, किंवा 16 वर्ण आहे. अर्थात, आधुनिक क्रिप्टोग्राफीसाठी मोठ्या इनपुट डेटासह कार्य करणे आवश्यक आहे आणि येथेच एनक्रिप्शन मोड कार्यान्वित होतात. एन्क्रिप्शन मोड हे मूलत: एक हॅक आहे: हा एक ब्लॉक सायफर लागू करण्याचा एक मार्ग आहे जो अनियंत्रित लांबीच्या इनपुटसाठी केवळ विशिष्ट आकाराचे इनपुट स्वीकारतो.

वोडेनचा हल्ला लोकप्रिय सीबीसी (सायफर ब्लॉक चेनिंग) ऑपरेशन मोडवर केंद्रित आहे. हा हल्ला अंतर्निहित ब्लॉक सायफरला जादूई, अभेद्य ब्लॅक बॉक्स मानतो आणि त्याच्या सुरक्षिततेला पूर्णपणे बायपास करतो.

सीबीसी मोड कसा कार्य करतो हे दाखवणारा आकृती येथे आहे:

वर्तुळाकार प्लस XOR (अनन्य OR) ऑपरेशन दर्शवते. उदाहरणार्थ, सायफरटेक्स्टचा दुसरा ब्लॉक प्राप्त झाला आहे:

1. पहिल्या सिफरटेक्स्ट ब्लॉकसह दुसऱ्या प्लेनटेक्स्ट ब्लॉकवर XOR ऑपरेशन करून.
2. की वापरून ब्लॉक सायफरसह परिणामी ब्लॉक एनक्रिप्ट करणे.

CBC बायनरी XOR ऑपरेशनचा इतका प्रचंड वापर करत असल्याने, त्याचे काही गुणधर्म आठवण्यासाठी थोडा वेळ घेऊ या:

• निर्बुद्धता:
• कम्युटेटिव्हिटी:
• सहवास:
• स्वत: ची उलटता:
• बाइट आकार: बाइट n च्या = (बाइट n चा ) (चा बाइट एन )

सामान्यतः, हे गुणधर्म सूचित करतात की जर आपल्याकडे XOR ऑपरेशन्स आणि एक अज्ञात समीकरण असेल तर ते सोडवले जाऊ शकते. उदाहरणार्थ, जर आपल्याला ते माहित असेल अज्ञात सह आणि प्रसिद्ध и , नंतर समीकरण सोडवण्यासाठी आपण वर नमूद केलेल्या गुणधर्मांवर अवलंबून राहू शकतो . सह समीकरणाच्या दोन्ही बाजूंना XOR लागू करून , आम्हाला मिळते . हे सर्व काही क्षणात अतिशय समर्पक होईल.

आमची अॅलिस परिस्थिती आणि वॉडेनायच्या हल्ल्यात दोन किरकोळ फरक आणि एक मोठा फरक आहे. दोन किरकोळ:

• स्क्रिप्टमध्ये, अॅलिसने पात्रांसह प्लेनटेक्स्ट समाप्त होण्याची अपेक्षा केली होती a, bb, ccc आणि असेच. वोडेन हल्ल्यात, पीडितेला त्याऐवजी प्लेनटेक्स्ट N बाइटने N वेळा समाप्त होण्याची अपेक्षा असते (म्हणजे हेक्साडेसिमल 01 किंवा 02 02, किंवा 03 03 03 आणि असेच). हा पूर्णपणे कॉस्मेटिक फरक आहे.
• अॅलिसच्या परिस्थितीत, "चुकीचा डमी मजकूर" या प्रतिसादाद्वारे अॅलिसने संदेश स्वीकारला होता की नाही हे सांगणे सोपे होते. वोडेनच्या हल्ल्यात, अधिक विश्लेषण आवश्यक आहे आणि पीडितेच्या बाजूने तंतोतंत अंमलबजावणी करणे महत्वाचे आहे; परंतु संक्षिप्ततेसाठी, हे विश्लेषण अद्याप शक्य आहे असे म्हणून घेऊ.

मुख्य फरक:

• आम्ही समान क्रिप्टोसिस्टम वापरत नसल्यामुळे, आक्रमणकर्ता-नियंत्रित सिफरटेक्स्ट बाइट्स आणि सिक्रेट्स (की आणि प्लेनटेक्स्ट) यांच्यातील संबंध स्पष्टपणे भिन्न असतील. त्यामुळे, सायफरटेक्स्ट तयार करताना आणि सर्व्हर प्रतिसादांचा अर्थ लावताना आक्रमणकर्त्याला वेगळी रणनीती वापरावी लागेल.

हा मुख्य फरक म्हणजे वॉडेने हल्ला समजून घेण्यासाठी कोडेचा शेवटचा भाग आहे, म्हणून CBC वर ओरॅकल हल्ला का आणि कसा केला जाऊ शकतो याचा विचार करण्यासाठी थोडा वेळ घेऊ या.

समजा आम्हाला 247 ब्लॉक्सचे CBC सिफरटेक्स्ट दिले आहे आणि आम्हाला ते डिक्रिप्ट करायचे आहे. आम्ही सर्व्हरला खोटे संदेश पाठवू शकतो, जसे की आम्ही यापूर्वी अॅलिसला बनावट संदेश पाठवू शकतो. सर्व्हर आमच्यासाठी संदेश डिक्रिप्ट करेल, परंतु डिक्रिप्शन दाखवणार नाही - त्याऐवजी, पुन्हा, अॅलिस प्रमाणेच, सर्व्हर फक्त एक माहितीचा अहवाल देईल: प्लेनटेक्स्टमध्ये वैध पॅडिंग आहे की नाही.

अॅलिसच्या परिस्थितीत आमच्यात खालील संबंध होते याचा विचार करा:

$$display$$text{SIMPLE_SUBSTITUTION}(text{ciphertext},text{key}) = text{plaintext}$$display$$

याला "अॅलिसचे समीकरण" म्हणू या. आम्ही सिफरटेक्स्ट नियंत्रित केले; सर्व्हरने (एलिस) प्राप्त केलेल्या प्लेन टेक्स्टबद्दल अस्पष्ट माहिती लीक केली; आणि यामुळे आम्हाला शेवटच्या घटकाबद्दल माहिती काढता आली - की. सादृश्यतेने, जर आम्हाला CBC स्क्रिप्टसाठी असे कनेक्शन सापडले, तर आम्ही तेथे काही गुप्त माहिती देखील काढू शकू.

सुदैवाने, तेथे खरोखर काही संबंध आहेत जे आपण वापरू शकतो. ब्लॉक सायफर डिक्रिप्ट करण्यासाठी अंतिम कॉलचे आउटपुट विचारात घ्या आणि हे आउटपुट म्हणून दर्शवा . आम्ही साध्या मजकुराचे ब्लॉक्स देखील सूचित करतो आणि सिफरटेक्स्ट ब्लॉक्स . CBC आकृतीवर आणखी एक नजर टाका आणि काय होते ते लक्षात घ्या:

याला "CBC समीकरण" म्हणू या.

अॅलिसच्या परिस्थितीमध्ये, सिफरटेक्स्टचे निरीक्षण करून आणि संबंधित प्लेनटेक्स्ट लीक पाहून, आम्ही एक हल्ला चढवू शकलो ज्याने समीकरणातील तिसरी टर्म पुनर्प्राप्त केली—की. सीबीसी परिस्थितीमध्ये, आम्ही सिफरटेक्स्टचे निरीक्षण करतो आणि संबंधित प्लेन टेक्स्टवरील माहिती लीकचे निरीक्षण करतो. साधर्म्य असल्यास, आम्ही याबद्दल माहिती मिळवू शकतो .

आपण खरोखर पुनर्संचयित केले असे गृहीत धरूया , मग काय? बरं, मग आपण प्लेन टेक्स्टचा संपूर्ण शेवटचा ब्लॉक एकाच वेळी मुद्रित करू शकतो (), फक्त प्रविष्ट करून (जे आमच्याकडे आहे) आणि
मिळाले CBC समीकरणात.

आता आम्ही हल्ल्याच्या एकूण योजनेबद्दल आशावादी आहोत, तपशील तयार करण्याची वेळ आली आहे. कृपया सर्व्हरवर साधा मजकूर माहिती कशी लीक होते याकडे लक्ष द्या. अॅलिसच्या स्क्रिप्टमध्ये, गळती झाली कारण अॅलिस फक्त $inline$text{SIMPLE_SUBSTITUTION}(text{ciphertext},text{key})$inline$ ओळीने समाप्त झाल्यास योग्य संदेशासह प्रतिसाद देईल a (किंवा bb, आणि असेच, परंतु या परिस्थिती योगायोगाने ट्रिगर होण्याची शक्यता खूपच कमी होती). CBC प्रमाणेच, सर्व्हर पॅडिंग स्वीकारतो आणि फक्त जर असेल तर हेक्साडेसिमलमध्ये समाप्त होते 01. चला तर मग तीच युक्ती वापरून पाहू: आमच्या स्वतःच्या बनावट मूल्यांसह बनावट सिफरटेक्स्ट पाठवणे जोपर्यंत सर्व्हर भरणे स्वीकारत नाही.

जेव्हा सर्व्हर आमच्या बनावट संदेशांपैकी एकासाठी पॅडिंग स्वीकारतो, तेव्हा याचा अर्थ असा होतो:

आता आम्ही बाइट-बाइट XOR गुणधर्म वापरतो:

आम्हाला पहिल्या आणि तिसर्‍या संज्ञा माहित आहेत. आणि आम्ही आधीच पाहिले आहे की हे आम्हाला उर्वरित टर्म पुनर्प्राप्त करण्यास अनुमती देते - पासून शेवटचे बाइट :

हे आम्हाला CBC समीकरण आणि बाइट-बाय-बाइट प्रॉपर्टीद्वारे अंतिम प्लेनटेक्स्ट ब्लॉकचा शेवटचा बाइट देखील देते.

आम्ही ते सोडून देऊ शकतो आणि समाधानी असू शकतो की आम्ही सैद्धांतिकदृष्ट्या मजबूत सायफरवर हल्ला केला आहे. पण खरं तर आम्ही बरेच काही करू शकतो: आम्ही प्रत्यक्षात सर्व मजकूर पुनर्प्राप्त करू शकतो. यासाठी अॅलिसच्या मूळ स्क्रिप्टमध्ये नसलेली आणि ओरॅकल हल्ल्यासाठी आवश्यक नसलेली युक्ती आवश्यक आहे, परंतु तरीही ते शिकण्यासारखे आहे.

हे समजून घेण्यासाठी, प्रथम लक्षात घ्या की शेवटच्या बाईटचे योग्य मूल्य आउटपुट करण्याचा परिणाम आहे आमच्याकडे नवीन क्षमता आहे. आता, सिफरटेक्स्ट फोर्ज करताना, आपण संबंधित प्लेनटेक्स्टचा शेवटचा बाइट हाताळू शकतो. पुन्हा, हे CBC समीकरण आणि बाइट-बाय-बाइट गुणधर्माशी संबंधित आहे:

आम्हाला आता दुसरी संज्ञा माहित असल्याने, आम्ही तिसऱ्यावर नियंत्रण ठेवण्यासाठी पहिल्यावर आमचे नियंत्रण वापरू शकतो. आम्ही फक्त गणना करतो:

आम्ही हे आधी करू शकलो नाही कारण आमच्याकडे अजून शेवटचा बाइट नव्हता .

हे आम्हाला कशी मदत करेल? समजा आता आपण सर्व सिफरटेक्स्ट तयार केले आहेत की संबंधित प्लेनटेक्स्टमध्ये शेवटचा बाइट समान आहे 02. सर्व्हर आता फक्त पॅडिंग स्वीकारतो जर प्लेनटेक्स्टचा शेवट असेल 02 02. आम्ही शेवटचा बाइट दुरुस्त केल्यामुळे, प्लेनटेक्स्टचा उपांत्य बाइट देखील 02 असेल तरच हे होईल. सर्व्हर त्यापैकी एकासाठी पॅडिंग स्वीकारत नाही तोपर्यंत आम्ही बनावट सायफरटेक्स्ट ब्लॉक्स पाठवत आहोत, उपांत्य बाइट बदलत आहोत. या टप्प्यावर आम्हाला मिळते:

आणि आम्ही उपांत्य बाइट पुनर्संचयित करतो जसे शेवटचे पुनर्संचयित केले गेले. आम्ही त्याच भावनेने सुरू ठेवतो: आम्ही प्लेनटेक्स्टचे शेवटचे दोन बाइट्स दुरुस्त करतो 03 03, आम्ही शेवटपासून तिसऱ्या बाईटसाठी हा हल्ला पुन्हा करतो आणि शेवटी पूर्णपणे पुनर्संचयित करतो .

बाकीच्या मजकुराचे काय? कृपया लक्षात ठेवा की मूल्य प्रत्यक्षात $inline$text{BLOCK_DECRYPT}(text{key},C_{247})$inline$ आहे. आम्ही त्याऐवजी दुसरा ब्लॉक ठेवू शकतो , आणि हल्ला अजूनही यशस्वी होईल. खरं तर, आम्ही सर्व्हरला कोणत्याही डेटासाठी $inline$text{BLOCK_DECRYPT}$inline$ करण्यास सांगू शकतो. या टप्प्यावर, खेळ संपला आहे - आम्ही कोणताही सिफरटेक्स्ट डिक्रिप्ट करू शकतो (हे पाहण्यासाठी CBC डिक्रिप्शन आकृतीवर आणखी एक नजर टाका; आणि लक्षात घ्या की IV सार्वजनिक आहे).

ही विशिष्ट पद्धत ओरॅकल हल्ल्यात महत्त्वपूर्ण भूमिका बजावते ज्याचा आपण नंतर सामना करू.

केल्सीचा हल्ला

आमच्या अनुकूल जॉन केल्सी यांनी विशिष्ट सायफरवरील विशिष्ट हल्ल्याचे तपशीलच नव्हे तर अनेक संभाव्य हल्ल्यांची तत्त्वे मांडली. त्याचा वर्षाचा एक्सएनयूएमएक्स लेख एनक्रिप्टेड संकुचित डेटावरील संभाव्य हल्ल्यांचा अभ्यास आहे. एन्क्रिप्शनपूर्वी डेटा संकुचित केला होता ही माहिती हल्ला करण्यासाठी पुरेशी नव्हती असे तुम्हाला वाटते का? हे पुरेसे आहे बाहेर वळते.

हा आश्चर्यकारक परिणाम दोन तत्त्वांमुळे आहे. प्रथम, प्लेनटेक्स्टची लांबी आणि सिफर टेक्स्टची लांबी यांच्यात मजबूत संबंध आहे; अनेक सिफरसाठी अचूक समानता. दुसरे, जेव्हा कॉम्प्रेशन केले जाते, तेव्हा संकुचित संदेशाची लांबी आणि प्लेनटेक्स्टच्या "गोंगाट" च्या डिग्रीमध्ये एक मजबूत संबंध देखील असतो, म्हणजेच पुनरावृत्ती न होणाऱ्या वर्णांचे प्रमाण (तांत्रिक संज्ञा "उच्च एन्ट्रॉपी" आहे. ).

तत्त्व कृतीत पाहण्यासाठी, दोन साध्या मजकूरांचा विचार करा:

साधा मजकूर 1: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

साधा मजकूर 2: ATVXCAGTRSVPTVVULSJQHGEYCMQPCRQBGCYIXCFJGJ

दोन्ही प्लेनटेक्स्ट संकुचित आणि नंतर एनक्रिप्ट केलेले आहेत असे गृहीत धरू. तुम्हाला दोन परिणामी सिफरटेक्स्ट मिळतात आणि कोणता सिफरटेक्स्ट कोणत्या प्लेन टेक्स्टशी जुळतो याचा अंदाज घ्यावा लागेल:

सांकेतिक मजकूर १: PVOVEYBPJDPVANEAWVGCIUWAABCIYIKOOURMYDTA

सांकेतिक मजकूर १: DWKJZXYU

उत्तर स्पष्ट आहे. प्लेनटेक्स्ट्समध्ये, फक्त प्लेन टेक्स्ट 1 दुसऱ्या सिफर टेक्स्टच्या अल्प लांबीमध्ये संकुचित केला जाऊ शकतो. कॉम्प्रेशन अल्गोरिदम, एन्क्रिप्शन की किंवा अगदी सायफरबद्दल काहीही माहिती न घेता आम्ही हे शोधून काढले. संभाव्य क्रिप्टोग्राफिक हल्ल्यांच्या पदानुक्रमाच्या तुलनेत, हा एक प्रकारचा वेडा आहे.

केल्सी पुढे सांगतात की काही असामान्य परिस्थितीत हे तत्व ओरॅकल हल्ला करण्यासाठी देखील वापरले जाऊ शकते. विशेषतः, हे वर्णन करते की आक्रमणकर्ता गुप्त प्लेनटेक्स्ट कसा पुनर्प्राप्त करू शकतो जर तो सर्व्हरला फॉर्म डेटा एनक्रिप्ट करण्यास भाग पाडू शकतो (त्यानंतर साधा मजकूर तो नियंत्रणात असताना आणि एनक्रिप्टेड निकालाची लांबी कसा तरी तपासू शकतो.

पुन्हा, इतर ओरॅकल हल्ल्यांप्रमाणे, आमचा संबंध आहे:

पुन्हा, आम्ही एक टर्म नियंत्रित करतो (), आम्ही दुसर्‍या सदस्याविषयी (सिफरटेक्स्ट) माहितीची एक छोटीशी गळती पाहतो आणि शेवटचा (साधा मजकूर) पुनर्प्राप्त करण्याचा प्रयत्न करतो. साधर्म्य असूनही, आम्ही पाहिलेल्या इतर ओरॅकल हल्ल्यांच्या तुलनेत ही काहीशी असामान्य परिस्थिती आहे.

असा हल्ला कसा कार्य करू शकतो हे स्पष्ट करण्यासाठी, आम्ही नुकतीच तयार केलेली काल्पनिक कॉम्प्रेशन स्कीम वापरू: TOYZIP. ते मजकुरात पूर्वी दिसलेल्या मजकूराच्या ओळी शोधते आणि त्यांना तीन प्लेसहोल्डर बाइट्ससह पुनर्स्थित करते जे ओळीचे पूर्वीचे उदाहरण कोठे शोधायचे आणि ते तेथे किती वेळा दिसते हे सूचित करते. उदाहरणार्थ, ओळ helloworldhello मध्ये संकुचित केले जाऊ शकते helloworld[00][00][05] मूळ 13 बाइट्सच्या तुलनेत 15 बाइट लांब.

समजा आक्रमणकर्त्याने फॉर्मचा साधा मजकूर पुनर्प्राप्त करण्याचा प्रयत्न केला password=..., जिथे पासवर्ड स्वतःच अज्ञात आहे. केल्सीच्या हल्ल्याच्या मॉडेलनुसार, आक्रमणकर्ता सर्व्हरला संकुचित करण्यास आणि नंतर फॉर्म संदेश एन्क्रिप्ट करण्यास सांगू शकतो (साधा मजकूर त्यानंतर ), कुठे  - विनामूल्य मजकूर. सर्व्हरने काम पूर्ण केल्यावर, तो निकालाच्या लांबीचा अहवाल देतो. हल्ला खालीलप्रमाणे आहे:

चोरटा: कृपया कोणत्याही पॅडिंगशिवाय प्लेन टेक्स्ट कॉम्प्रेस आणि एनक्रिप्ट करा.

सर्व्हर: निकालाची लांबी 14.

चोरटा: कृपया जो साधा मजकूर जोडला आहे तो संकुचित आणि कूटबद्ध करा password=a.

सर्व्हर: निकालाची लांबी 18.

क्रॅकर नोट्स: [मूळ 14] + [तीन बाइट्स जे बदलले password=] + a

चोरटा: कृपया जोडलेला साधा मजकूर संकुचित आणि कूटबद्ध करा password=b.

सर्व्हर: निकालाची लांबी 18.

चोरटा: कृपया जोडलेला साधा मजकूर संकुचित आणि कूटबद्ध करा password=с.

सर्व्हर: निकालाची लांबी 17.

क्रॅकर नोट्स: [मूळ 14] + [तीन बाइट्स जे बदलले password=c]. हे गृहीत धरते की मूळ प्लेन टेक्स्टमध्ये स्ट्रिंग आहे password=c. म्हणजेच पासवर्डची सुरुवात अक्षराने होते c

चोरटा: कृपया जोडलेला साधा मजकूर संकुचित आणि कूटबद्ध करा password=сa.

सर्व्हर: निकालाची लांबी 18.

क्रॅकर नोट्स: [मूळ 14] + [तीन बाइट्स जे बदलले password=с] + a

चोरटा: कृपया जोडलेला साधा मजकूर संकुचित आणि कूटबद्ध करा password=сb.

सर्व्हर: निकालाची लांबी 18.

(… काही वेळानंतर…)

चोरटा: कृपया जोडलेला साधा मजकूर संकुचित आणि कूटबद्ध करा password=со.

सर्व्हर: निकालाची लांबी 17.

क्रॅकर नोट्स: [मूळ 14] + [तीन बाइट्स जे बदलले password=co]. त्याच तर्काचा वापर करून, आक्रमणकर्ता असा निष्कर्ष काढतो की संकेतशब्द अक्षरांनी सुरू होतो co

आणि संपूर्ण पासवर्ड पुनर्संचयित होईपर्यंत.

हा एक पूर्णपणे शैक्षणिक व्यायाम आहे आणि अशा हल्ल्याची परिस्थिती वास्तविक जगात कधीही उद्भवणार नाही असा विचार केल्याबद्दल वाचकांना क्षमा केली जाईल. अरेरे, जसे आपण लवकरच पाहणार आहोत, क्रिप्टोग्राफी सोडणे चांगले नाही.

ब्रँड भेद्यता: गुन्हा, पूडल, डूब

शेवटी, सिद्धांताचा तपशीलवार अभ्यास केल्यानंतर, वास्तविक जीवनातील क्रिप्टोग्राफिक हल्ल्यांमध्ये ही तंत्रे कशी लागू केली जातात हे आपण पाहू शकतो.

CRIME

हल्ल्याचा उद्देश पीडिताच्या ब्राउझर आणि नेटवर्कवर असल्यास, काही सोपे आणि काही अधिक कठीण असतील. उदाहरणार्थ, पीडिताची रहदारी पाहणे सोपे आहे: फक्त त्याच कॅफेमध्ये वायफायसह त्याच्यासोबत बसा. या कारणास्तव, संभाव्य पीडितांना (म्हणजे प्रत्येकाला) सामान्यतः एनक्रिप्टेड कनेक्शन वापरण्याचा सल्ला दिला जातो. पीडितेच्या वतीने काही तृतीय-पक्ष साइटवर HTTP विनंत्या करणे अधिक कठीण, परंतु तरीही शक्य आहे (उदाहरणार्थ, Google). हल्लेखोराने पीडितेला विनंती करणाऱ्या स्क्रिप्टसह दुर्भावनापूर्ण वेब पृष्ठाकडे आकर्षित करणे आवश्यक आहे. वेब ब्राउझर आपोआप संबंधित सत्र कुकी प्रदान करेल.

हे आश्चर्यकारक वाटते. बॉब गेला तर evil.com, या साइटवरील स्क्रिप्ट Google ला बॉबचा पासवर्ड ईमेल करण्यास सांगू शकते [email protected]? ठीक आहे, सिद्धांततः होय, परंतु प्रत्यक्षात नाही. या परिस्थितीला क्रॉस-साइट रिक्वेस्ट फोर्जरी हल्ला म्हणतात (क्रॉस-साइट विनंती खोटी, CSRF), आणि ते 90 च्या दशकाच्या मध्यभागी लोकप्रिय होते. आज जर evil.com ही युक्ती वापरून पाहिल्यास, Google (किंवा कोणतीही स्वाभिमानी वेबसाइट) सहसा असे प्रतिसाद देईल, “छान, परंतु या व्यवहारासाठी तुमचे CSRF टोकन असेल... उम... три триллиона и семь. कृपया हा नंबर पुन्हा करा." आधुनिक ब्राउझरमध्ये "सेम-ओरिजिन पॉलिसी" नावाचे काहीतरी असते ज्याद्वारे साइट A वरील स्क्रिप्ट्सना वेबसाइट B द्वारे पाठवलेल्या माहितीवर प्रवेश नसतो. त्यामुळे स्क्रिप्ट वर evil.com यांना विनंती पाठवू शकतात google.com, परंतु प्रतिसाद वाचू शकत नाही किंवा प्रत्यक्षात व्यवहार पूर्ण करू शकत नाही.

आम्ही यावर जोर दिला पाहिजे की जोपर्यंत बॉब एन्क्रिप्टेड कनेक्शन वापरत नाही तोपर्यंत ही सर्व संरक्षणे निरर्थक आहेत. आक्रमणकर्ता बॉबचा रहदारी वाचू शकतो आणि Google ची सत्र कुकी पुनर्प्राप्त करू शकतो. या कुकीसह, तो स्वतःचा ब्राउझर न सोडता फक्त एक नवीन Google टॅब उघडेल आणि त्रासदायक समान-मूळ धोरणांचा सामना न करता बॉबची तोतयागिरी करेल. परंतु, दुर्दैवाने चोरट्यासाठी हे कमी होत चालले आहे. एकूणच इंटरनेटने एन्क्रिप्टेड कनेक्शनवर दीर्घकाळ युद्ध घोषित केले आहे आणि बॉबची आउटगोइंग ट्रॅफिक कदाचित एन्क्रिप्टेड आहे, त्याला ते आवडते किंवा नाही. याव्यतिरिक्त, प्रोटोकॉलच्या अंमलबजावणीच्या अगदी सुरुवातीपासून, वाहतूक देखील होती संकुचित एनक्रिप्शन करण्यापूर्वी; विलंब कमी करण्यासाठी ही एक सामान्य पद्धत होती.

इथेच ते नाटकात येते CRIME (कंप्रेशन रेशो इन्फोलिक मेड इझी, कम्प्रेशन रेशोद्वारे साधी गळती). सुरक्षा संशोधक जुलियानो रिझो आणि थाई डुओंग यांनी सप्टेंबर 2012 मध्ये असुरक्षितता उघड केली होती. आम्ही आधीच संपूर्ण सैद्धांतिक आधाराचे परीक्षण केले आहे, जे आम्हाला ते काय आणि कसे केले हे समजून घेण्यास अनुमती देते. आक्रमणकर्ता बॉबच्या ब्राउझरला Google ला विनंत्या पाठवण्यास भाग पाडू शकतो आणि नंतर स्थानिक नेटवर्कवरील प्रतिसाद संकुचित, एनक्रिप्टेड स्वरूपात ऐकू शकतो. म्हणून आमच्याकडे आहे:

येथे आक्रमणकर्ता विनंती नियंत्रित करतो आणि पॅकेट आकारासह ट्रॅफिक स्निफरमध्ये प्रवेश करतो. केल्सीची काल्पनिक परिस्थिती जिवंत झाली.

सिद्धांत समजून घेऊन, CRIME च्या लेखकांनी एक शोषण तयार केले जे Gmail, Twitter, Dropbox आणि Github सह विस्तृत साइटसाठी सत्र कुकीज चोरू शकतात. असुरक्षिततेचा परिणाम बहुतेक आधुनिक वेब ब्राउझरवर झाला, परिणामी पॅचेस रिलीझ केले गेले ज्याने SSL मध्ये कॉम्प्रेशन वैशिष्ट्य शांतपणे दफन केले जेणेकरून ते अजिबात वापरले जाणार नाही. असुरक्षिततेपासून संरक्षित असलेला एकमेव आदरणीय इंटरनेट एक्सप्लोरर होता, ज्याने कधीही SSL कॉम्प्रेशन वापरले नाही.

POODLE

ऑक्टोबर 2014 मध्ये, Google सुरक्षा टीमने सुरक्षा समुदायात लहरीपणा आणला. ते दहा वर्षांपूर्वी पॅच केलेल्या SSL प्रोटोकॉलमधील असुरक्षिततेचे शोषण करण्यास सक्षम होते.

असे दिसून आले की सर्व्हर चमकदार नवीन TLSv1.2 चालवत असताना, इंटरनेट एक्सप्लोरर 3 सह बॅकवर्ड कंपॅटिबिलिटीसाठी अनेकांनी लेगसी SSLv6 साठी समर्थन सोडले आहे. आम्ही आधीच डाउनग्रेड हल्ल्यांबद्दल बोललो आहोत, त्यामुळे आपण काय चालले आहे याची कल्पना करू शकता. हँडशेक प्रोटोकॉलची सुव्यवस्थित तोडफोड आणि सर्व्हर चांगल्या जुन्या SSLv3 वर परत येण्यासाठी तयार आहेत, मूलत: मागील 15 वर्षांच्या सुरक्षा संशोधनाला पूर्ववत करून.

ऐतिहासिक संदर्भासाठी, मॅथ्यू ग्रीन पासून आवृत्ती 2 पर्यंतच्या SSL च्या इतिहासाचा येथे संक्षिप्त सारांश आहे:

ट्रान्सपोर्ट लेयर सिक्युरिटी (TLS) हा इंटरनेटवरील सर्वात महत्त्वाचा सुरक्षा प्रोटोकॉल आहे. [..] तुम्ही इंटरनेटवर केलेला जवळपास प्रत्येक व्यवहार TLS वर अवलंबून असतो. [..] पण TLS नेहमी TLS नव्हता. मध्ये प्रोटोकॉलने त्याचे जीवन सुरू केले नेटस्केप कम्युनिकेशन्स "Secure Sockets Layer" किंवा SSL म्हणतात. अफवा अशी आहे की SSL ची पहिली आवृत्ती इतकी भयंकर होती की विकसकांनी कोडचे सर्व प्रिंटआउट गोळा केले आणि त्यांना न्यू मेक्सिकोमधील गुप्त लँडफिलमध्ये पुरले. परिणामी, SSL ची पहिली सार्वजनिकरित्या उपलब्ध आवृत्ती प्रत्यक्षात आहे आवृत्ती SSL 2. हे खूपच भयानक आहे, आणि [..] हे 90 च्या दशकाच्या मध्यातील उत्पादन होते, ज्याला आधुनिक क्रिप्टोग्राफर "क्रिप्टोग्राफीचे गडद युग" आज आपल्याला माहीत असलेल्या अनेक अत्यंत जघन्य क्रिप्टोग्राफिक हल्ल्यांचा शोध लागलेला नाही. परिणामी, SSLv2 प्रोटोकॉलचे विकसक मूलत: अंधारात त्यांचा मार्ग फसवण्यास सोडले गेले आणि त्यांना सामना करावा लागला बरेच भयानक राक्षस - त्यांच्या त्रासासाठी आणि आमच्या फायद्यासाठी, कारण SSLv2 वरील हल्ल्यांनी प्रोटोकॉलच्या पुढील पिढीसाठी अमूल्य धडे सोडले.

या घटनांनंतर, 1996 मध्ये, निराश झालेल्या नेटस्केपने SSL प्रोटोकॉलला सुरवातीपासून पुन्हा डिझाइन केले. परिणाम SSL आवृत्ती 3, जे त्याच्या पूर्ववर्तीच्या अनेक ज्ञात सुरक्षा समस्यांचे निराकरण केले.

सुदैवाने चोऱ्यांसाठी, “काही” चा अर्थ “सर्व” असा होत नाही. एकूणच, SSLv3 ने Vodene हल्ला सुरू करण्यासाठी सर्व आवश्यक बिल्डिंग ब्लॉक्स प्रदान केले. प्रोटोकॉलमध्ये CBC मोड ब्लॉक सायफर आणि एक असुरक्षित पॅडिंग योजना वापरली गेली (हे TLS मध्ये दुरुस्त केले गेले; म्हणून डाउनग्रेड हल्ल्याची आवश्यकता). जर तुम्हाला आमच्या Vaudenay हल्ल्याच्या मूळ वर्णनातील पॅडिंग योजना आठवत असेल, तर SSLv3 योजना अगदी सारखीच आहे.

परंतु, दुर्दैवाने चोऱ्यांसाठी, “समान” चा अर्थ “समान” असा होत नाही. SSLv3 पॅडिंग स्कीम "N यादृच्छिक बाइट्स त्यानंतर क्रमांक N" आहे. या परिस्थितीत, सायफरटेक्स्टचा एक काल्पनिक ब्लॉक निवडण्याचा प्रयत्न करा आणि वॉडेनच्या मूळ योजनेच्या सर्व पायऱ्या पार करा: तुम्हाला आढळेल की हल्ला प्लेनटेक्स्टच्या संबंधित ब्लॉकमधून शेवटचा बाइट यशस्वीपणे काढतो, परंतु पुढे जात नाही. सिफरटेक्स्टच्या प्रत्येक 16व्या बाइटचे डिक्रिप्ट करणे ही एक उत्तम युक्ती आहे, परंतु तो विजय नाही.

अपयशाचा सामना करताना, Google टीमने शेवटचा उपाय केला: त्यांनी अधिक शक्तिशाली धोक्याच्या मॉडेलवर स्विच केले - जे CRIME मध्ये वापरले गेले. हल्लेखोर बळीच्या ब्राउझर टॅबमध्ये चालणारी स्क्रिप्ट आहे आणि सत्र कुकीज काढू शकते असे गृहीत धरून, हल्ला अजूनही प्रभावी आहे. व्यापक धोका मॉडेल कमी वास्तववादी असताना, आम्ही मागील विभागात पाहिले की हे विशिष्ट मॉडेल व्यवहार्य आहे.

या अधिक शक्तिशाली हल्लेखोर क्षमता लक्षात घेता, हल्ला आता सुरू ठेवू शकतो. लक्षात ठेवा की आक्रमणकर्त्याला हेडरमध्ये एनक्रिप्टेड सत्र कुकी कुठे दिसते हे माहित आहे आणि त्याच्या आधीच्या HTTP विनंतीची लांबी नियंत्रित करते. म्हणून, ते HTTP विनंती हाताळण्यास सक्षम आहे जेणेकरून कुकीचा शेवटचा बाइट ब्लॉकच्या शेवटी संरेखित होईल. आता हा बाइट डिक्रिप्शनसाठी योग्य आहे. तुम्ही विनंतीमध्ये फक्त एक वर्ण जोडू शकता आणि कुकीचा उपान्त्य बाइट त्याच ठिकाणी राहील आणि तीच पद्धत वापरून निवडीसाठी योग्य आहे. कुकी फाइल पूर्णपणे पुनर्संचयित होईपर्यंत हल्ला अशा प्रकारे चालू राहतो. याला POODLE: Padding Oracle on Downgraded Legacy Encryption असे म्हणतात.

बुडणे

आम्ही नमूद केल्याप्रमाणे, SSLv3 मध्ये त्याच्या त्रुटी होत्या, परंतु ते त्याच्या पूर्ववर्तीपेक्षा मूलभूतपणे वेगळे होते, कारण गळती होणारे SSLv2 हे वेगळ्या युगाचे उत्पादन होते. तेथे तुम्ही मध्यभागी संदेश व्यत्यय आणू शकता: соглашусь на это только через мой труп मध्ये बदलले соглашусь на это; क्लायंट आणि सर्व्हर ऑनलाइन भेटू शकतील, विश्वास प्रस्थापित करू शकतील आणि आक्रमणकर्त्यासमोर गुप्त गोष्टींची देवाणघेवाण करू शकतील, जे नंतर सहजपणे दोघांची तोतयागिरी करू शकतील. निर्यात क्रिप्टोग्राफीमध्ये देखील समस्या आहे, ज्याचा आम्ही FREAK चा विचार करताना उल्लेख केला आहे. हे क्रिप्टोग्राफिक सदोम आणि गमोरा होते.

मार्च 2016 मध्ये, विविध तांत्रिक क्षेत्रातील संशोधकांची एक टीम एकत्र आली आणि त्यांनी एक धक्कादायक शोध लावला: SSLv2 अजूनही सुरक्षा प्रणालींमध्ये वापरला जातो. होय, आक्रमणकर्ते यापुढे आधुनिक TLS सत्रे SSLv2 वर डाउनग्रेड करू शकत नाहीत कारण ते छिद्र FREAK आणि POODLE नंतर बंद झाले होते, परंतु तरीही ते सर्व्हरशी कनेक्ट होऊ शकतात आणि स्वतः SSLv2 सत्रे सुरू करू शकतात.

तुम्ही विचाराल, ते तिथे काय करतात याची आम्हाला पर्वा का आहे? त्यांच्याकडे एक असुरक्षित सत्र आहे, परंतु त्याचा इतर सत्रांवर किंवा सर्व्हरच्या सुरक्षिततेवर परिणाम होऊ नये - बरोबर? बरं, अगदी नाही. होय, सिद्धांतानुसार ते असेच असावे. पण नाही - कारण SSL प्रमाणपत्रे व्युत्पन्न केल्याने एक विशिष्ट भार पडतो, परिणामी अनेक सर्व्हर समान प्रमाणपत्रे वापरतात आणि परिणामी, TLS आणि SSLv2 कनेक्शनसाठी समान RSA की. बाबी आणखी वाईट करण्यासाठी, OpenSSL बगमुळे, या लोकप्रिय SSL अंमलबजावणीमधील "SSLv2 अक्षम करा" पर्याय प्रत्यक्षात काम करत नाही.

यामुळे TLS वर क्रॉस-प्रोटोकॉल हल्ला शक्य झाला, ज्याला म्हणतात बुडणे (अप्रचलित आणि कमकुवत एनक्रिप्शनसह आरएसए डिक्रिप्ट करणे, अप्रचलित आणि कमकुवत एनक्रिप्शनसह आरएसए डिक्रिप्ट करणे). लक्षात ठेवा की हे लहान हल्ल्यासारखे नाही; आक्रमणकर्त्याला "मध्यभागी माणूस" म्हणून कार्य करण्याची आवश्यकता नाही आणि असुरक्षित सत्रात सहभागी होण्यासाठी क्लायंटला सामील करण्याची आवश्यकता नाही. हल्लेखोर फक्त सर्व्हरसह एक असुरक्षित SSLv2 सत्र सुरू करतात, कमकुवत प्रोटोकॉलवर हल्ला करतात आणि सर्व्हरची RSA खाजगी की पुनर्प्राप्त करतात. ही की TLS कनेक्शनसाठी देखील वैध आहे आणि या क्षणापासून, TLS सुरक्षिततेची कोणतीही रक्कम तडजोड होण्यापासून प्रतिबंधित करणार नाही.

परंतु ते क्रॅक करण्यासाठी, तुम्हाला SSLv2 विरुद्ध कार्यरत हल्ला आवश्यक आहे, जो तुम्हाला केवळ विशिष्ट रहदारीच नव्हे तर गुप्त RSA सर्व्हर की देखील पुनर्प्राप्त करण्यास अनुमती देतो. हा एक जटिल सेटअप असला तरी, संशोधक SSLv2 नंतर पूर्णपणे बंद झालेली कोणतीही भेद्यता निवडू शकतात. अखेरीस त्यांना एक योग्य पर्याय सापडला: ब्लेचेनबॅकर हल्ला, ज्याचा आम्ही आधी उल्लेख केला आहे आणि ज्याचे आम्ही पुढील लेखात तपशीलवार वर्णन करू. SSL आणि TLS या हल्ल्यापासून संरक्षित आहेत, परंतु SSL ची काही यादृच्छिक वैशिष्ट्ये, एक्सपोर्ट-ग्रेड क्रिप्टोग्राफीमधील शॉर्ट की सह एकत्रित केल्याने हे शक्य झाले. DROWN ची विशिष्ट अंमलबजावणी.

प्रकाशनाच्या वेळी, इंटरनेटच्या शीर्ष साइट्सपैकी 25% DROWN असुरक्षिततेमुळे प्रभावित झाल्या होत्या आणि हा हल्ला अगदी खोडकर एकट्या हॅकर्ससाठी उपलब्ध असलेल्या माफक संसाधनांसह केला जाऊ शकतो. सर्व्हरची RSA की पुनर्प्राप्त करण्यासाठी आठ तासांची गणना आणि $440 आवश्यक होते आणि SSLv2 अप्रचलित ते किरणोत्सर्गी बनले.

थांबा, हार्टब्लीडचे काय?

वर वर्णन केलेल्या अर्थाने हा क्रिप्टोग्राफिक हल्ला नाही; हा बफर ओव्हरफ्लो आहे.

चला थोडा ब्रेक घेऊया

आम्ही काही मूलभूत तंत्रांसह सुरुवात केली: ब्रूट फोर्स, इंटरपोलेशन, डाउनग्रेडिंग, क्रॉस-प्रोटोकॉल आणि प्रीकॉम्प्युटेशन. मग आम्ही एका प्रगत तंत्राकडे पाहिले, कदाचित आधुनिक क्रिप्टोग्राफिक हल्ल्यांचा मुख्य घटक: ओरॅकल हल्ला. आम्ही ते शोधण्यात बराच वेळ घालवला - आणि केवळ मूलभूत तत्त्वच नाही तर दोन विशिष्ट अंमलबजावणीचे तांत्रिक तपशील देखील समजले: CBC एन्क्रिप्शन मोडवर व्हॉडेनाय हल्ला आणि प्री-कंप्रेशन एन्क्रिप्शन प्रोटोकॉलवर केल्सी हल्ला.

डाउनग्रेड आणि प्रीकॉम्प्युटेशन हल्ल्यांचे पुनरावलोकन करताना, आम्ही FREAK अटॅकची थोडक्यात रूपरेषा दिली आहे, जी लक्ष्य साइट्सना कमकुवत कीजवर डाउनग्रेड करून दोन्ही पद्धती वापरतात आणि नंतर त्याच की पुन्हा वापरतात. पुढील लेखासाठी, आम्ही (अगदी समान) लॉगजॅम हल्ला जतन करू, जो सार्वजनिक की अल्गोरिदमला लक्ष्य करतो.

त्यानंतर आम्ही या तत्त्वांच्या वापराची आणखी तीन उदाहरणे पाहिली. प्रथम, क्राइम आणि पूडल: दोन हल्ले जे आक्रमणकर्त्याच्या लक्ष्य प्लेनटेक्स्टच्या पुढे अनियंत्रित प्लेनटेक्स्ट इंजेक्ट करण्याच्या क्षमतेवर अवलंबून असतात, नंतर सर्व्हरच्या प्रतिसादांचे परीक्षण करतात आणि नंतर, ओरॅकल हल्ला पद्धत वापरून, या विरळ माहितीचा उपयोग करून, अंशतः साधा मजकूर पुनर्प्राप्त करा. CRIME ने SSL कॉम्प्रेशनवर केल्सीच्या हल्ल्याचा मार्ग स्वीकारला, तर POODLE ने त्याऐवजी त्याच प्रभावाने CBC वर Vaudenay च्या हल्ल्याचा एक प्रकार वापरला.

त्यानंतर आम्ही क्रॉस-प्रोटोकॉल DROWN अटॅककडे आमचे लक्ष वळवले, जे लेगसी SSLv2 प्रोटोकॉल वापरून सर्व्हरशी कनेक्शन स्थापित करते आणि नंतर Bleichenbacher हल्ला वापरून सर्व्हरच्या गुप्त की पुनर्प्राप्त करते. आम्ही सध्या या हल्ल्याचे तांत्रिक तपशील वगळले आहेत; Logjam प्रमाणे, आम्हाला सार्वजनिक की क्रिप्टोसिस्टम्स आणि त्यांच्या भेद्यतेची चांगली समज होईपर्यंत प्रतीक्षा करावी लागेल.

पुढील लेखात आपण मीट-इन-द-मिडल, डिफरेंशियल क्रिप्टनालिसिस आणि वाढदिवसाच्या हल्ल्यांसारख्या प्रगत हल्ल्यांबद्दल बोलू. चला साइड-चॅनल हल्ल्यांकडे एक झटपट पाऊल टाकूया, आणि नंतर मजेदार भागाकडे जाऊया: सार्वजनिक की क्रिप्टोसिस्टम्स.

स्त्रोत: www.habr.com