Daniele Antonioli, ืึท ืืืืขืืึธืึธืื ืืืืขืจืืืื ืคืึธืจืฉืขืจ ืืืึธืก ืคืจืืขืจ ืืขืืืขืืึธืคึผืขื ืื BIAS, BLUR ืืื KNOB ืืึทืคืึทืื ืืขืงื ืืงืก, ืืื ืืืืขื ืึทืคืืื ืฆืืืื ื ืืึทืข ืืืึทืื ืขืจืึทืืืืืืื (CVE-2023-24023) ืืื ืื ืืืืขืืึธืึธืื ืกืขืกืืข ืคืึทืจืืึทื ืืืื ื ืืขืงืึทื ืืืึทื, ืืืึธืก ืืืืจืงื ืึทืืข ืืืืขืืึธืึธืื ืืืคึผืืึทืืึทื ืฅ ืืืึธืก ืฉืืืฆื ืืืืขืจ ืงืึทื ืขืงืฉืึทื ื ืืึธืืขืก. "ืืืืขืจ ืกืืืคึผืืข ืคึผืขืจืื ื", ืืื ืืืืขืืึธืึธืื ืงืึธืจ 4.2-5.4 ืกืคึผืขืกืึทืคืึทืงืืืฉืึทื ื. ืืื ืึท ืืขืืึทื ืกืืจืืืฉืึทื ืคืื ืื ืคึผืจืึทืงืืืฉ ืึทืคึผืืึทืงืืืฉืึทื ืคืื ืื ืืืืขื ืึทืคืืื ืืืึทืื ืขืจืึทืืืืืืื, 6 ืืึทืคืึทืื ืึธืคึผืฆืืขืก ืืขื ืขื ืืขืืืขืืึธืคึผืขื ืืืึธืก ืืึธืื ืืื ืื ืฆื ืืืขืืืฉ ืืื ืื ืงืฉืจ ืฆืืืืฉื ืคืจืืขืจ ืคึผืขืจื ืืืืขืืึธืึธืื ืืขืืืืกืขืก. ืื ืงืึธื ืืื ืื ืืืคึผืืึทืืขื ืืืืฉืึทื ืคืื ืืึทืคืึทืื ืืขืืืึธืืก ืืื ืืืืืืึทืืื ืคึฟืึทืจ ืงืึธื ืืจืึธืืืจืื ื ืคึฟืึทืจ ืืืึทืื ืขืจืึทืืืืืืื ืืขื ืขื ืืจืืืก ืืืืฃ GitHub.
ืื ืืืึทืื ืขืจืึทืืืืืืื ืืขื ืขื ืืืืขื ืึทืคืืื ืืขืฉืึทืก ืื ืึทื ืึทืืืกืืก ืคืื ืื ืืขืงืึทื ืืืึทืื ืืืกืงืจืืืื ืืื ืื ืกืืึทื ืืึทืจื ืคึฟืึทืจ ืึทืืฉืืืืื ื ืคืึธืจืืืก ืืขืกืึธืืืงืืึทื (ืคืึธืจืืืขืจืืก ืืื ืฆืืงืื ืคึฟื ืืขืกืึธืืืงืืึทื), ืืืึธืก ืึทื ืืงืขืื ืฉืืขืื ืื ืงืึธืืคึผืจืึธืืืก ืคืื ืกืขืกืืข ืฉืืืกืืขื ืืื ืคืึทื ืคืื ืืืืขืจืืึทื ืื ื ืึท ืฉืืขื ืืืง ืฉืืืกื (ืงืึทืืคึผืจืึธืืืก ืืืื ืขืจ ืคืื ืื ืฉืืขื ืืืง ืฉืืืกืืขื ืืึธื ื ืืฉื ืคืืจื ืฆื ืื ืืขืงืจืืคึผืืืึธื ืคืื ืคืจืืขืจ ืื ืืขืจืกืขืคึผืืึทื ืึธืืขืจ ืฆืืงืื ืคึฟื ืกืขืฉืึทื ื) ืืื ืจืืืืก ืคืื ืกืขืกืืข ืฉืืืกืืขื ืฉืืืกืืขื (ืึท ืฉืืืกื ืคืื ืืืื ืกืขืกืืข ืืึธื ื ืื ืืืื ืึธื ืืืขื ืืืขื ืฆื ืื ืื ืืขืจ ืกืขืกืืข). ืื ืืขืคึฟืื ืขื ืืืึทืื ืขืจืึทืืืืืืื ืืึทืื ืขืก ืืขืืืขื ืฆื ืืืืคึผืึทืก ืื ืกืคึผืขืกืืคืืขื ืฉืืฅ ืืื ืจืืืื ืึทื ืึทื ืจืืืืืึทืืึทื ืกืขืกืืข ืฉืืืกื ืืื ืคืึทืจืฉืืืขื ืข ืกืขืฉืึทื ื. ืื ืืืึทืื ืขืจืึทืืืืืืื ืืขื ืขื ืืขืคึฟืืจื ืืืจื ืคืืึธื ืืื ืื ืืึทืืข ื ืึธืจืืึทื, ืืขื ืขื ื ืืฉื ืกืคึผืขืฆืืคืืฉ ืฆื ืืืื ืืืืขืืึธืึธืื ืกืืึทืงืก ืืื ืืขืจืฉืืึทื ืขื ืืื ืืฉืืคึผืก ืคืื ืคืึทืจืฉืืืขื ืข ืืึทื ืืึทืคืึทืงืืฉืขืจืขืจื.
ืื ืคืืจืืขืืืืื ืืึทืคืึทืื ืืขืืืึธืืก ืื ืกืืจืืืขื ื ืคืึทืจืฉืืืขื ืข ืึธืคึผืฆืืขืก ืคึฟืึทืจ ืึธืจืืึทื ืืืืื ื ืกืคึผืึธืึธืคืื ื ืคืื ืงืืึทืกืืฉ (LSC, Legacy Secure Connections ืืืืืจื ืืืืฃ ืึทืืืืืืืื ืงืจืืคึผืืึธืืจืึทืคืืง ืคึผืจืืืืืืืื) ืืื ืืืืขืจ (SC, Secure Connections ืืืืืจื ืืืืฃ ECDH ืืื AES-CCM) ืืืืขืืึธืึธืื ืงืึทื ืขืงืฉืึทื ื ืฆืืืืฉื ืื ืกืืกืืขื ืืื ืึท ืคึผืขืจืืคืขืจืึทื ืืืื, ืืื ืืืื ืึธืจืืึทื ืืืืจื MITM ืงืึทื ืขืงืฉืึทื ื. ืื ืคืืื ืคึฟืึทืจ ืงืึทื ืขืงืฉืึทื ื ืืื LSC ืืื SC ืืึธืืขืก. ืขืก ืืื ืื ืืขื ืืืขื ืึทื ืึทืืข ืืืืขืืึธืึธืื ืืืคึผืืึทืืึทื ืฅ ืืืึธืก ื ืึธืืงืืืขื ืืื ืื ื ืึธืจืืึทื ืืขื ืขื ืกืึทืกืขืคึผืืึทืืึทื ืฆื ืขืืืขืืข ืืืึทืจืืึทื ื ืคืื ืื BLUFFS ืืึทืคืึทืื. ืืขืจ ืืืคึฟื ืืื ืืขืืึทื ืกืืจืืืืื ืืืืฃ 18 ืืขืืืืกืขืก ืคืื ืงืึธืืคึผืึทื ืืขืก ืึทืืึท ืืื ืื ืืขื, ืืจืึธืืงืึธื, ืขืคึผื, ืืืื, ืืืืงืจืึธืกืึธืคึฟื, ืงืกืจ, ืืึธืืืืขืืฉ, ืื ืคืื ืขืึธื, ืืึธืกืข, ืืขื ืืื ืงืกืืึทืึธืื.
ืื ืขืกืึทื ืก ืคืื ืื ืืืึทืื ืขืจืึทืืืืืืื ืืื ืื ืคืืืืงืืื, ืึธื ืืืืืึทืืืืืื ื ืื ื ืึธืจืืึทื, ืฆื ืฆืืืื ืืขื ืึท ืคึฟืึทืจืืื ืืื ื ืฆื ื ืืฆื ืื ืึทืื LSC ืืึธืืข ืืื ืึทื ืึทื ืจืืืืืึทืืึทื ืงืืจืฅ ืกืขืกืืข ืฉืืืกื (SK), ืืืจื ืกืคึผืขืฆืืคืืฆืืจื ืื ืืื ืืืื ืืขืืืขื ืขื ืืจืึธืคึผืืข ืืขืฉืึทืก ืื ืงืฉืจ ืคืึทืจืืึทื ืืืื ื ืคึผืจืึธืฆืขืก ืืื ืืืื ืึธืจืืจื ืื ืืื ืืึทืื ืคืื ืืขืจ ืขื ืืคืขืจ ืืื ืึธืืขื ืืึทืงืืืฉืึทื ืคึผืึทืจืึทืืขืืขืจืก (CR), ืืืึธืก ืคืืจื ืฆื ืืขืจ ืืืจ ืคืื ืึท ืกืขืกืืข ืฉืืืกื ืืืืืจื ืืืืฃ ืฉืืขื ืืืง ืึทืจืืึทื ืฉืจืืึทื ืคึผืึทืจืึทืืขืืขืจืก (ืื ืกืขืกืืข ืฉืืืกื ืกืง ืืื ืงืึทืืงืืึทืืืืืื ืืื ืื KDF ืคืื ืื ืฉืืขื ืืืง ืฉืืืกื (PK) ืืื ืคึผืึทืจืึทืืขืืขืจืก ืืกืืื ืืืืฃ ืืขืฉืึทืก ืื ืกืขืกืืข) . ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืขืฉืึทืก ืึท MITM ืืึทืคืึทืื, ืึท ืึทืืึทืงืขืจ ืงืขื ืขื ืคืึทืจืืืึทืื ืคึผืึทืจืึทืืขืืขืจืก ๐ด๐ถ ืืื ๐๐ท ืืื ื ืื ืืืึทืืืขืก ืืขืฉืึทืก ืื ืกืขืกืืข ืคืึทืจืืึทื ืืืื ื ืคึผืจืึธืฆืขืก, ืืื ืฉืืขืื ืขื ืืจืึธืคึผืืข ๐๐ธ ืฆื 1, ืืืึธืก ืืืขื ืคืืจื ืฆื ืื ืคืึธืจืืืจืื ื ืคืื ืึท ืกืขืกืืข ืฉืืืกื ๐๐พ ืืื ืึทื ืคืึทืงืืืฉ ืขื ืืจืึธืคึผื ืคืื 1 ืืืื (ืื ื ืึธืจืืึทื ืืื ืืืื ืขื ืืจืึธืคึผื ืืจืืืก ืืื 7 ืืืืขืก (56 ืืืฅ), ืืืึธืก ืืื ืคืึทืจืืืืึทืืืขื ืืื ืจืืืืืึทืืืืึทืื ืฆื ืื ืกืขืืขืงืฆืืข ืคืื โโืื ืฉืืืกื).
ืืืื ืืขืจ ืึทืืึทืงืขืจ ืืขืจืืื ืฆื ืืขืจืืจืืืื ืื ื ืืฆื ืคืื ืึท ืงืืจืฆืขืจ ืฉืืืกื ืืขืฉืึทืก ืื ืงืฉืจ ืคืึทืจืืึทื ืืืื ื, ืขืจ ืงืขื ืขื ื ืืฆื ืืจืื ืงืจืึทืคื ืฆื ืืึทืฉืืืกื ืื ืฉืืขื ืืืง ืฉืืืกื (PK) ืืขื ืืฆื ืคึฟืึทืจ ืขื ืงืจืืคึผืฉืึทื ืืื ืืขืจืืจืืืื ืืขืงืจืืคึผืืืึธื ืคืื ืคืึทืจืงืขืจ ืฆืืืืฉื ืืขืืืืกืขืก. ืืื ื ืึท MITM ืืึทืคืึทืื ืงืขื ืขื ืฆืื ืื ืื ื ืืฆื ืคืื ืืขืจ ืืขืืืืงืขืจ ืขื ืงืจืืคึผืฉืึทื ืฉืืืกื, ืืืื ืืขืจ ืฉืืืกื ืืื ืืขืคึฟืื ืขื, ืขืก ืงืขื ืขื ืืืื ืืขื ืืฆื ืฆื ืืขืงืจืืคึผื ืึทืืข ืคืึทืจืืึทื ืืขื ืืืื ืืื ืฆืืงืื ืคึฟื ืกืขืฉืึทื ื ืื ืืขืจืกืขืคึผืืึทื ืืืจื ืื ืึทืืึทืงืขืจ.
ืฆื ืคืึทืจืฉืคึผืึทืจื ืืืึทืื ืขืจืึทืืืืืืื, ืืขืจ ืคืึธืจืฉืขืจ ืคืืจืืขืืืืื ืขื ืืขืจืื ืืขื ืฆื ืื ื ืึธืจืืึทื ืืืึธืก ืืงืกืคึผืึทื ื ืื LMP ืคึผืจืึธืืึธืงืึธื ืืื ืืืืฉื ืื ืืึธืืืง ืคืื ื ืืฆื KDF (Key Derivation Function) ืืืขื ืืืฉืขื ืขืจืืืืื ื ืฉืืืกืืขื ืืื LSC ืืึธืืข. ืืขืจ ืขื ืืขืจืื ื ืืื ื ืืฉื ืืจืขืื ืงืึทืคึผืืืขืจ ืงืึทืืคึผืึทืืึทืืืืึทืื, ืึธืืขืจ ืืขืคึฟืืจื ืื ืขืงืกืืขื ืืขื LMP ืืึทืคึฟืขื ืฆื ืืืื ืขื ืืืืึทืื ืืื ืึท ื ืึธื 48 ืืืืขืก ืฆื ืืืื ืืขืฉืืงื. ืื ืืืืขืืึธืึธืื ืกืื, ืืืึธืก ืืื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ืืขืืืขืืึธืคึผืื ื ืืืืขืืึธืึธืื ืกืืึทื ืืึทืจืืก, ืืื ืคืืจืืขืืืืื ืจืืืืฉืขืงืืื ื ืงืึทื ืขืงืฉืึทื ื ืืืืขืจ ืึท ืื ืงืจืืคึผืืื ืงืึธืืื ืืงืึทืฆืืข ืงืึทื ืึทื ืืื ืฉืืืกืืขื ืึทืจืืืฃ ืฆื 7 ืืืืขืก ืืื ืืจืืืก ืืื ืึท ืืืืขืจืืืื ืืึธืก. ืืืคึผืืึทืืขื ืืืืฉืึทื ื ืืืึธืก ืฉืืขื ืืืง ื ืืฆื ืืืืขืจืืืื ืืึธืืข 4 ืืขืืืขื 4 ืืขื ืขื ืื ืงืขืจืึทืืืฉื ืฆื ืึธืคึผืืืึทืจืคื ืงืึทื ืขืงืฉืึทื ื ืืื ืฉืืืกืืขื ืึทืจืืืฃ ืฆื 16 ืืืืขืก ืืื ืืจืืืก.
ืืงืืจ: opennet.ru