Výplň věšteckého útoku - Padding oracle attack - Wikipedia

V kryptografii, a padding věštecký útok je útok, který využívá polstrování ověření kryptografické zprávy k dešifrování šifrovacího textu. V kryptografii musí být zprávy holého textu s proměnnou délkou často polstrované (rozšířené), aby byly kompatibilní s podkladem kryptografický primitiv. Útok se spoléhá na to, že má „padding Oracle“, který svobodně reaguje na dotazy, zda je zpráva správně polstrovaná či nikoli. Padding Oracle útoky jsou většinou spojeny s Dešifrování režimu CBC použitý uvnitř blokové šifry. Režimy odsazení pro asymetrické algoritmy, jako je OAEP může být také citlivé na polstrování Oracle útoků.^[1]

Symetrická kryptografie

V symetrické kryptografii výplň věštecký útok lze použít na Provozní režim CBC, Kde "věštec "(obvykle server) únik dat o tom, zda polstrování šifrované zprávy je správná nebo ne. Taková data mohou útočníkům umožnit dešifrovat (a někdy i zašifrovat) zprávy prostřednictvím věštce pomocí klíče věštce, aniž by věděli šifrovací klíč.

Padding Oracle útok na šifrování CBC

Standardní implementací dešifrování CBC v blokových šifrách je dešifrování všech bloků ciphertextu, ověření paddingu, odstranění Polstrování PKCS7 a vrátí holý text zprávy. Pokud server vrátí chybu „neplatné polstrování“ místo obecné chyby „dešifrování selhalo“, může útočník použít server jako padding věštec k dešifrování (a někdy k zašifrování) zpráv.

Matematický vzorec pro dešifrování CBC je

${ displaystyle P_ {i} = D_ {K} (C_ {i}) oplus C_ {i-1},}$

${ displaystyle C_ {0} = IV.}$

Jak je znázorněno výše, CBC dešifrování XOR každý blok prostého textu s předchozím blokem ciphertext. Výsledkem je jednobajtová modifikace v bloku ${ displaystyle C_ {1}}$ provede odpovídající změnu jednoho bajtu v ${ displaystyle P_ {2}}$.

Předpokládejme, že útočník má dva bloky šifrovaného textu ${ displaystyle C_ {1}, C_ {2}}$ a chtějí dešifrovat druhý blok, aby získali prostý text ${ displaystyle P_ {2}}$Útočník změní poslední bajt ${ displaystyle C_ {1}}$ (vytváření ${ displaystyle C_ {1} '}$) a odešle ${ displaystyle (IV, C_ {1} ', C_ {2})}$ Server poté vrátí, zda je či není výplň posledního dešifrovaného bloku (${ displaystyle P_ {2} '}$) je správné (rovná se 0x01). Pokud je výplň správná, útočník nyní ví, že poslední bajt ${ displaystyle D_ {K} (C_ {2}) oplus C_ {1} '}$ je ${ displaystyle mathrm {0x01}}$. Proto, ${ displaystyle D_ {K} (C_ {2}) = C_ {1} ' oplus mathrm {0x01}}$Pokud je výplň nesprávná, může útočník změnit poslední bajt ${ displaystyle C_ {1} '}$ na další možnou hodnotu. Útočník bude muset provést 256 pokusů (jeden odhad pro každý možný bajt), aby našel poslední bajt ${ displaystyle P_ {2}}$. Pokud dešifrovaný blok obsahuje výplňové informace nebo bajty použité pro výplň, bude nutné provést další pokus o vyřešení této nejednoznačnosti.^[2]

Po určení posledního bajtu ${ displaystyle P_ {2}}$, může útočník použít stejnou techniku ​​k získání předposledního bajtu ${ displaystyle P_ {2}}$Útočník nastaví poslední bajt ${ displaystyle P_ {2}}$ na ${ displaystyle mathrm {0x02}}$ nastavením posledního bajtu z ${ displaystyle C_ {1}}$ na ${ displaystyle D_ {K} (C_ {2}) oplus mathrm {0x02}}$Útočník poté použije stejný přístup popsaný výše, tentokrát upravuje předposlední bajt, dokud není vyplnění správné (0x02, 0x02).

Pokud blok sestává ze 128 bitů (AES, například), což je 16 bytů, získá útočník prostý text ${ displaystyle P_ {2}}$ ne více než 255⋅16 = 4080 pokusů. To je podstatně rychlejší než ${ displaystyle 2 ^ {128}}$ pokusy o bruteforce 128bitový klíč.

Šifrování zpráv pomocí Padding Oracle útoku (CBC-R)

CBC-R^[3] promění dešifrovací věštce na věštec šifrovací a je primárně demonstrován proti padding věštcům.

Pomocí padding Oracle útoku CBC-R lze vytvořit inicializační vektor a blok ciphertext pro jakýkoli prostý text:

• dešifrovat jakýkoli šifrovací text P_i = PODecrypt (C_i ) XOR C_{i − 1},
• vyberte předchozí šifrovací blok C_{x − 1} volně,
• vytvořit platný pár ciphertext / plaintext C_x-1 = P_X XOR PODecrypt (C._i ).

Generovat šifrovací text, který je N bloky dlouhé, musí útočník provést N počty padlých věšteckých útoků. Tyto útoky jsou zřetězeny dohromady, takže správný prostý text je konstruován v opačném pořadí, od konce zprávy (C_N) na počáteční zprávu (C₀, IV). V každém kroku se používá padding oracle attack ke konstrukci IV na předchozí vybraný ciphertext.

Útok CBC-R nebude fungovat proti šifrovacímu schématu, které ověřuje šifrovací text (pomocí a ověřovací kód zprávy nebo podobné) před dešifrováním.

Útoky pomocí polstrovaných věštců

Původní útok byl publikován v roce 2002 autorem Serge Vaudenay.^[4] Konkrétní instance útoku byly později realizovány proti SSL^[5] a IPSec.^[6][7] To bylo také aplikováno na několik webové rámce, počítaje v to Tváře JavaServeru, Ruby on Rails^[8] a ASP.NET^[9][10][11] stejně jako další software, například Parní herní klient.^[12] V roce 2012 se ukázalo, že je účinné proti některým tvrzeným bezpečnostním zařízením.^[13]

Zatímco tyto dřívější útoky byly většinou opraveny TLS realizátoři po svém veřejném oznámení, nová varianta, Lucky Thirteen útok, publikovaný v roce 2013, použil časovací postranní kanál k opětovnému otevření chyby zabezpečení i v implementacích, které byly dříve opraveny. Počátkem roku 2014 již útok není považován za hrozbu v reálném provozu, i když teoreticky je stále proveditelný (viz odstup signálu od šumu ) proti určité třídě strojů. Od roku 2015^{[Aktualizace]}, nejaktivnější oblastí vývoje útoků na kryptografické protokoly používané k zabezpečení internetového provozu jsou downgrade útok, jako je Logjam^[14] a exportujte RSA / FREAK^[15] útoky, které přimějí klienty používat méně zabezpečené kryptografické operace poskytované pro kompatibilitu se staršími klienty, pokud jsou k dispozici bezpečnější. Volal útok PUDL^[16] (konec roku 2014) kombinuje útok na downgrade (na SSL 3.0) s útokem padding Oracle na starší, nezabezpečený protokol, aby umožnil kompromis přenášených dat. V květnu 2016 to bylo odhaleno v CVE -2016-2107 že oprava proti Lucky Thirteen v OpenSSL zavedla další polstrování věštce.^[17][18]

Reference