En grupp forskare vid Kaliforniska universitetet i San Diego har demonstrerat möjligheten att Äterskapa privata RSA-nycklar för SSH-servrar genom att anvÀnda passiv trafikanalys av SSH. Attacken kan utföras pÄ servrar dÀr det, pÄ grund av omstÀndigheter eller ÄtgÀrder frÄn den attackerande, uppstÄr fel under berÀkningen av digitala signaturer vid upprÀttande av SSH-anslutning. Felen kan vara bÄde mjukvarurelaterade (felaktig utförande av matematiska operationer, minneskorruption) och hÄrdvarurelaterade (fel vid anvÀndning av NVRAM och DRAM eller avbrott i strömförsörjningen).
Ett sÀtt att stimulera fel kan vara RowHammer-attacker, som bland annat gör det möjligt att distans eller genom bearbetning av JavaScript-kod i webblÀsaren orsaka korruption av innehÄllet i enskilda minnesbitar vid intensiv cyklisk lÀsning av data frÄn angrÀnsande minnesceller. Ett annat sÀtt att orsaka fel kan vara att utnyttja sÄrbarheter som leder till buffertöverfyllnad och datakorruption av nycklar i minnet.
I den publicerade studien visas att vid anvÀndning av digitala signaturer i SSH baserat pÄ RSA-algoritmen, Àr angrepp för att Äterskapa privata RSA-nycklar genom Lattice-metoden (Felattack) tillÀmpliga pÄ parametrarna för digitala signaturer, om programvaru- eller hÄrdvarufel intrÀffar under signaturberÀkningsprocessen. KÀrnan i metoden Àr att genom att jÀmföra korrekta och felaktiga RSA-digitala signaturer kan den största gemensamma delaren för ett av de primtal som anvÀnts vid nyckelformeringen bestÀmmas.
RSA-kryptering bygger pÄ operationen av exponentiering modulÀrt ett stort tal. Offentliga nyckeln innehÄller modul och exponent. Modulen bildas baserat pÄ tvÄ slumpmÀssiga primtal som endast Àr kÀnda av Àgaren av den privata nyckeln. Attacken kan tillÀmpas pÄ RSA-implementationer som anvÀnder Kinesiska resten teorem och deterministiska utfyllnadsscheman som PKCS#1 v1.5.
För att utföra en attack rÀcker det med passiv övervakning av legitima anslutningar till SSH-servern för att identifiera en korrupt digital signatur i trafiken, som kan anvÀndas som informationskÀlla för att Äterkonstruera den privata RSA-nyckeln. Efter Äterkonstrueringen av vÀrd-RSA-nyckeln kan angriparen under en MITM-attack diskret omdirigera förfrÄgningar till en falsk vÀrd som utger sig för att vara en komprometterad SSH-server och organisera avlyssning av den överförda. server av data.
Som ett resultat av studien av en samling avlyssnade nÀtverksdata, som omfattar cirka 5,2 miljarder poster relaterade till anvÀndning av protokollet SSH, identifierade forskarna cirka 3,2 miljarder öppna vÀrdnycklar och digitala signaturer som anvÀndes under SSH-sessioners förhandling. Av dessa skapades 1,2 miljarder (39,1 %) med RSA-algoritmen. I 593671 fall (0,048 %) var RSA-signaturen skadad och passerade inte verifieringen. För 4962 korrupta signaturer kunde metoden Lattice-faktorisering tillÀmpas för att bestÀmma den privata nyckeln med den kÀnda offentliga nyckeln, vilket i slutÀndan gjorde det möjligt att Äterskapa 189 unika RSA-nyckelpar (i mÄnga fall anvÀndes samma nycklar och störda enheter för att generera olika skadade signaturer). Det tog ungefÀr 26 timmars processortid att Äterskapa nycklarna.
Problemet berör endast specifika implementeringar av protokollet SSH, som huvudsakligen anvÀnds pÄ inbyggda enheter. Exempel pÄ enheter med problematiska SSH-implementationer inkluderar produkter frÄn Zyxel, Cisco, Mocana och Hillstone Networks. OpenSSH Àr inte drabbat av problemet, eftersom den anvÀnder OpenSSL (eller LibreSSL) för nyckelgenerering, dÀr skydd mot attacker baserade pÄ felanalys har funnits sedan 2001. Dessutom har i OpenSSH schemat för digitala signaturer ssh-rsa (baserat pÄ sha1) sedan 2020 förklarats som förÄldrat och avaktiverats i version 8.8 (stöd för scheman rsa-sha2-256 och rsa-sha2-512 kvarstÄr). Potentiellt kan attacken Àven vara tillÀmplig pÄ IPsec-protokollet, men forskarna hade inte tillrÀckliga experimentella data för att bekrÀfta en sÄdan attack i praktiken.
KĂ€lla: opennet.ru
