DH साइफरहरूमा आधारित जडानहरूको लागि कुञ्जी निर्धारण गर्न अनुमति दिने TLS मा जोखिम

खुलासा गरियो नयाँ बारेमा जानकारी कमजोरीहरू (CVE-2020-1968) TLS प्रोटोकलमा, कोडनाम
राकून र, दुर्लभ परिस्थितिहरूमा, प्रारम्भिक प्राथमिक कुञ्जी (प्रि-मास्टर) निर्धारण गर्न अनुमति दिँदै, जुन ट्रान्जिट ट्राफिक (MITM) अवरोध गर्दा HTTPS सहित TLS जडानहरू डिक्रिप्ट गर्न प्रयोग गर्न सकिन्छ। यो उल्लेख गरिएको छ कि आक्रमण व्यावहारिक कार्यान्वयन को लागी धेरै गाह्रो छ र सैद्धान्तिक प्रकृति को अधिक छ। आक्रमण गर्नको लागि, TLS सर्भरको एक विशिष्ट कन्फिगरेसन र सर्भर प्रशोधन समय एकदम सही मापन गर्ने क्षमता आवश्यक छ।

समस्या प्रत्यक्ष रूपमा TLS विशिष्टतामा अवस्थित छ र DH कुञ्जी विनिमय प्रोटोकल (Diffie-Hellman, TLS_DH_*") मा आधारित साइफरहरू प्रयोग गरेर जडानहरूलाई मात्र असर गर्छ। ECDH साइफरहरूसँग समस्या उत्पन्न हुँदैन र तिनीहरू सुरक्षित रहन्छन्। संस्करण 1.2 सम्मको TLS प्रोटोकलहरू मात्र कमजोर छन्; TLS 1.3 समस्याबाट प्रभावित छैन। विभिन्न TLS जडानहरूमा DH गोप्य कुञ्जी पुन: प्रयोग गर्ने TLS कार्यान्वयनहरूमा जोखिम हुन्छ (यो व्यवहार Alexa Top 4.4M सर्भरहरूको लगभग 1% मा हुन्छ)।

OpenSSL 1.0.2e र अघिल्लो रिलीजहरूमा, DH प्राथमिक कुञ्जी सबै सर्भर जडानहरूमा पुन: प्रयोग गरिन्छ जबसम्म SSL_OP_SINGLE_DH_USE विकल्प स्पष्ट रूपमा सेट गरिएको छैन। OpenSSL 1.0.2f देखि, DH प्राथमिक कुञ्जी स्थिर DH साइफरहरू ("DH-*", उदाहरण "DH-RSA-AES256-SHA") प्रयोग गर्दा मात्र पुन: प्रयोग गरिन्छ। जोखिम OpenSSL 1.1.1 मा देखा पर्दैन, किनकि यो शाखाले DH प्राथमिक कुञ्जी प्रयोग गर्दैन र स्थिर DH साइफरहरू प्रयोग गर्दैन।

DH कुञ्जी आदानप्रदान विधि प्रयोग गर्दा, जडानको दुवै पक्षले अनियमित निजी कुञ्जीहरू उत्पन्न गर्दछ (यसपछि कुञ्जी "a" र कुञ्जी "b"), जसको आधारमा सार्वजनिक कुञ्जीहरू (ga mod p र gb mod p) गणना गरी पठाइन्छ। प्रत्येक पार्टीले सार्वजनिक कुञ्जीहरू प्राप्त गरेपछि, एक साझा प्राथमिक कुञ्जी (gab mod p) गणना गरिन्छ, जुन सत्र कुञ्जीहरू उत्पन्न गर्न प्रयोग गरिन्छ। र्याकुन आक्रमणले तपाइँलाई साइड-च्यानल विश्लेषण मार्फत प्राथमिक कुञ्जी निर्धारण गर्न अनुमति दिन्छ, यो तथ्यमा आधारित छ कि संस्करण 1.2 सम्मको TLS निर्दिष्टीकरणहरूले यसलाई समावेश गर्ने गणना अघि प्राथमिक कुञ्जीका सबै प्रमुख नल बाइटहरू खारेज गर्न आवश्यक छ।

काटिएको प्राथमिक कुञ्जीलाई सत्र कुञ्जी जेनेरेसन प्रकार्यमा पास गरिन्छ, जुन विभिन्न डेटा प्रशोधन गर्दा विभिन्न ढिलाइहरूसँग ह्यास प्रकार्यहरूमा आधारित हुन्छ। सर्भरद्वारा गरिएका कुञ्जी अपरेशनहरूको समय सही रूपमा मापन गर्दा आक्रमणकर्तालाई सुरागहरू (ओरेकल) निर्धारण गर्न अनुमति दिन्छ जसले प्राथमिक कुञ्जी स्क्र्याचबाट सुरु हुन्छ वा होइन भनेर निर्णय गर्न सम्भव बनाउँछ। उदाहरणका लागि, एक आक्रमणकारीले क्लाइन्टले पठाएको सार्वजनिक कुञ्जी (ga) लाई रोक्न सक्छ, सर्भरमा पुन: प्रसारण गर्न र निर्धारण गर्न सक्छ।
नतिजा प्राथमिक कुञ्जी शून्यबाट सुरु हुन्छ कि छैन।

आफैंमा, कुञ्जीको एक बाइट परिभाषित गर्नाले केही दिँदैन, तर जडान वार्ताको क्रममा क्लाइन्टद्वारा प्रसारित "ga" मानलाई अवरोध गरेर, आक्रमणकर्ताले "ga" सँग सम्बन्धित अन्य मानहरूको सेट उत्पन्न गर्न सक्छ र तिनीहरूलाई पठाउन सक्छ। अलग जडान वार्ता सत्रहरूमा सर्भर। "gri*ga" मानहरू उत्पन्न गरेर पठाएर, आक्रमणकर्ताले सर्भर प्रतिक्रियामा हुने ढिलाइमा भएका परिवर्तनहरूको विश्लेषण गरेर, शून्यबाट सुरु हुने प्राथमिक कुञ्जीहरू प्राप्त गर्न नेतृत्व गर्ने मानहरू निर्धारण गर्न सक्छ। त्यस्ता मानहरू निर्धारण गरिसकेपछि, आक्रमणकर्ताले समीकरणहरूको सेट सिर्जना गर्न सक्छ समाधानहरू लुकेका संख्या समस्याहरू र मूल प्राथमिक कुञ्जी गणना गर्नुहोस्।

OpenSSL कमजोरीहरू तोकिएको खतराको निम्न स्तर, र समस्याग्रस्त साइफरहरू "TLS_DH_*" लाई रिलीज 1.0.2w मा अपर्याप्त सुरक्षा स्तर ("कमजोर-ssl-सिफरहरू") को साथ साइफरहरूको श्रेणीमा सार्नको लागि घटाइएको थियो, जुन पूर्वनिर्धारित रूपमा असक्षम गरिएको छ। । मोजिला विकासकर्ताहरूले उही कुरा गरे, बन्द गरियो फायरफक्समा प्रयोग गरिएको NSS पुस्तकालयमा, DH र DHE साइफर सुइटहरू। Firefox 78 को रूपमा, समस्याग्रस्त साइफरहरू असक्षम छन्। DH को लागि Chrome समर्थन 2016 मा फिर्ता बन्द गरिएको थियो। BearSSL, BoringSSL, Botan, Mbed TLS र s2n पुस्तकालयहरू समस्याबाट प्रभावित छैनन् किनभने तिनीहरूले DH साइफरहरू वा DH साइफरहरूको स्थिर संस्करणहरूलाई समर्थन गर्दैनन्।

थप समस्याहरू छुट्टै उल्लेख गरिएको छ (CVE-2020-5929) F5 BIG-IP यन्त्रहरूको TLS स्ट्याकमा, आक्रमणलाई थप यथार्थवादी बनाउँदै। विशेष गरी, प्राथमिक कुञ्जीको सुरुमा शून्य बाइटको उपस्थितिमा यन्त्रहरूको व्यवहारमा विचलनहरू पहिचान गरिएको छ, जुन गणनाको सही विलम्बता नाप्नुको सट्टा प्रयोग गर्न सकिन्छ।

स्रोत: opennet.ru