SSL 3.0 vulnerability

Įvadas

• SSL - saugaus sujungimo lygmuo (angl. Secure Sockets Layer) t.y. kriptografinis protokolas, skirtas informacijos, sklindančios internete apsaugojimui šifruojant. SSL protokolas naudojamas interneto naudotojo programinės įrangos ir tarnybinės stoties programinės įrangos komunikacijos šifravimui. SSL protokolas dažniausiai naudojamas interneto svetainėse, siekiant užtikrinti visos puslapiuose įvedamos informacijos privatumą ir saugumą. 2014 m. Rugpjūčio 14 d. Google tyrėjai publikavo naują SSL pažeidžiamumą pavadinimu POODLE, kuris išnaudoja seną bei skylėtą SSL 3.0 protokolą. Šis protokolas daugumoje bibliotekų buvo pakeistas saugesniais TLS 1.0, TLS 1.1 bei TLS 1.2 variantais, tačiau dėl suderinamumo su senais įrenginiais SSL 3.0 buvo vis dar plačiai palaikomas kaip atsarginė komunikacijos priemonė. Realistiškame POODLE išnaudojimo scenarijuje įsilaužėlis, turėdamas prieigą prie tinklo kanalo, priverčia kliento naršyklę vykdyti Javascript kodą, siunčianti HTTPS užklausą į pasirinktą puslapį SSL 3.0 protokolu. Tokiu atveju HTTPS užklausoje esantys konfidencialūs duomenys, tokie kaip „saugūs“ sausainėliai (pvz. prisijungimų sesijos) gali būti nesunkiai nugvelbti.

POODLE pažeidžiamumas

• POODLE pažeidžiamumas, dar kategorizuojamas kaip „padding oracle“ ataka, remiasi nesaugiai naudojamu užpildymo (angl. padding) mechanizmu blokiniame šifravime. Pirma, šis pažeidžiamumas niekaip nėra susijęs su „Oracle“ duomenų baze ar „Oracle Company“. Kriptografijoje „oracle“ yra sistema, kuri atlieka kriptografinius veiksmus, priimdama tam tikrą įvestį. Taigi „užpildymo orakulas“ (angl. padding oracle) yra sistemos tipas, kuris perima iš vartotojo užšifruotus duomenis, juos iššifruoja ir patikrina, ar užpildymas yra teisingas, ar ne. Prieš išsiaiškinant atakos veikimą, išsiakinkime šifravimo veikimo principą bei reikalingas sąvokas.

1. Šifravimo schemos

• Yra dviejų tipų šifravimo schemos:
• Simetrinis raktų šifravimas: šifravimo ir iššifravimo raktai yra vienodi.
• Asimetriškas raktų šifravimas: šifravimo ir iššifravimo raktai skirtingi. Simetrinis rakto šifravimas gali naudoti srauto šifrus arba blokinius šifrus. Srauto šifras šifruoja po vieną bitą, o bloko šifras šifruoja paprastąjį tekstą (angl. plain text) gabalais. Mus šiuo atveju domina blokiniai šifrai. Taigi čia yra du pastebimi punktai apie blokinius šifrus. • Jie naudoja fiksuoto dydžio duomenis (pvz., 64 bitų DES, 128 bitų AES ir kt.) • Jie veikia režimais. Yra įvairių veikimo režimų, tokių kaip CBC (Cipher Block Chaining), ECB ir kt. CBC (Cipher Block Chaining) režimu, tam, kad kiekvienas pranešimas būtų unikalus, pirmajame bloke naudojamas inicializavimo vektorius (IV). IV yra kažkokia atsitiktinė teksto eilutė, kuri prieš šifruojant yra XOR‘inama (vykdoma XOR operacija) su paprastojo teksto eilute. Kiekvienas paprasto teksto blokas prieš šifruojant yra XOR‘inamas su ankstesniu šifro teksto bloku. Kitaip tariant, kiekvienas šifro teksto blokas priklauso nuo visų iki to momento apdorotų paprastojo teksto blokų, kaip parodyta toliau pateiktame paveikslėlyje (1 pav.). Svarbu pažymėti, kad čia IV nėra slaptas, jis tik priduoda atsitiktinumo prie išvesties. IV kartu su pranešimu siunčiamas aiškiu teksto formatu.

1 pav. Šifravimas CBC (Cipher Block Chaining) režimu [1].

2. Kas yra užpildymas (angl. padding)?

• Nors blokinis šifras dirba su fiksuoto dydžio duomenimis, suprantama, kad gaunami pranešimai ar duomenys nėra fiksuoto ilgio. Pavyzdžiui, pažvelkime į du toliau pateiktus pranešimus ir tarkime, kad norėtumėte, jog bloko dydis būtų 8. 1 pranešime galite lengvai jį padalyti į 3 dalis, kurių bloko dydis yra 8 (8 A + 8 B ir 8 C). Tačiau 2 pranešimo atveju, jei norime pritaikyti bloko dydį kaip 8, pritrūktų 4 raidžių, taigi, norint įveikti šį apribojimą, buvo panaudotas užpildymas (angl. padding). 1 pranešimas: AAAAAAAABBBBBBBBBCCCCCCCCC 2 pranešimas: AAAAAAAABBBBBBBBBCCCC Paprasčiau tariant, užpildymas prideda keletą papildomų bitų, kurie yra būtini prieš šifruojant, kad suformuoti tinkamą bloką. Yra skirtingos užpildymo schemos. Tačiau dabar aptarsime tik PKCS #5 standartą, kadangi jis gana lengvai suprantamas lyginant su kitais. PKCS #5 standarte paskutinis paprastojo teksto (angl. plain text) blokas užpildytas N vertės N baitais. Pavyzdys pateiktas 2 paveikslėlyje. Visų, paveikslėlyje parodytų pavyzdinių blokų dydis yra 8 baitai. Ex1 trūksta 5 baitų. Taigi visos tos 5 vietos bus užpildytos 0x05. Panašiai paimkite Ex3, kai trūksta 1 baito. Taigi ta vieta bus užpildyta 0x01.

2 pav. Užpildymas PKCS#5 standarte.

3. POODLE, dar kategorizuojamas kaip „padding oracle“ atakos veikimas

• Norėdami sužinoti, kaip įvykdoma ataka, apžvelkime toliau pateiktą URL:

https://www.example.com/home.asp?UID=8A219A434525535FF324D4G56FC95348

• Tarkime, kad tam tikra informacija UID (Vartotojo vardas) parametru siunčiama šifruota forma naudojant CBC režimą ir PKCS #5 standartą. Taigi programa iššifruoja šią vertę ir grąžina rezultatus pagal tą vertę. Yra 3 galimi scenarijai, kurie gali įvykti, kai programa perduodama su skirtingomis parametro UID reikšmėmis. • 1 atvejis: tinkamas šifro tekstas - nukreipiama į tinkamą ir įprastą puslapį; • 2 atvejis: netinkamas šifro tekstas [su netinkamu užpildymu] - nukreipiama į netinkamą puslapį [pvz., 404]; • 3 atvejis: tinkamas šifro tekstas, bet netinkamas užpildymas – išmetama klaida. Toliau pateikti atitinkami pavyzdžiai kiekvienam iš šių aukščiau išvardytų 3 atvejų. 1 atvejo pavyzdys: Tarkime, kad išsiuntėme reikšmę UID = 8A219A4345255535FF324D4G56FC95348 ir ji iššifruojama tinkamam vartotojui „tom“. Tada bus atsiųstas normalus atsakymas. (Tai yra URL adresas, kurį „tomas“ būtų gavęs prisijungęs). 2 atvejo pavyzdys: Tarkime, kad išsiuntėme reikšmę UID = 998877PA4345255535FF324D4G56FC95348 ir ji iššifruota „xxx“ (netinkamas vartotojas). Gali būti atsakyta 404 pranešimu, kad tokio puslapio nėra. 3 atvejo pavyzdys: Tarkime, kad išsiuntėme reikšmę UID = 66IXS7IA4345255535FF324D4G56FC95348 ir ji iššifruojama „sam“ (galiojantis vartotojas), bet su netinkamu užpildu. Programa grąžins tam tikrą išimtį. Taigi, jei galime siųsti skirtingus šifravimo tekstus ir sužinoti, ar jie iššifruojami į reikšmes su galiojančiu užpildymu, ar ne, galime iššifruoti bet kurį duotą šifro tekstą. Taigi lieka rasti programą, kuri pateikia 200 OK pranešimą galiojančiam šifro tekstui ir išimtį (paprastai 500 klaida) už klastotą šifravimo tekstą. Dabar pažvelkite į CBC dešifravimo būdą žemiau esančiame paveikslėlyje (3 pav.). Dešifravimas vykdomas analogiškai, tik XOR ir blokinio šifravimo raktu operacijos yra sukeistos vietomis.

3 pav. Dešifravimas CBC (Cipher Block Chaining) režimu [1].

Paprastas ir pagrindinis dalykas: vykdant CBC dešifravimą, kiekvienas šifro tekstas perduodamas per šifrą, tada atliekama XOR operacija su ankstesniu šifro teksto bloku, kad būtų gautas paprastasis tekstas. Taigi, jei paimsite aukščiau pateiktą URL pavyzdį, į šifro blokus pirmiausia būtų suskaidoma taip: https://www.example.com/home.asp?UID=8A219A43|4525535F|F324D4G5|6FC95348 Šifravimo blokai: 8A219A43 | 4525535F | F324D4G5 | 6FC9534 8

4 pav. Dešifravimas CBC (Cipher Block Chaining) režimu pagal nagrinėjama pavyzdį.

Taigi pirmasis šifro blokas bus naudojamas skaičiuojant paprastojo teksto (angl. plain text) antrąjį šifro bloką. Apžvelkime toliau nurodytus veiksmus, kad suprastumėte ataką laipsniškai. 1. Jei bus išsiųsta žemiau pateikta užklausa su visų nulių pradiniu bloku, greičiausiai tai bus 500, nes ji gali nebūti iššifruota iki jokios galiojančios vertės. https://www.example.com/home.asp?UID=00000000|4525535F|F324D4G5|6FC95348

5 pav. Išsiųstos užklausos su visais nuliais pradiniame bloke pavyzdys.

2. Išsiuntus tą pačią užklausą, padidinus šio pradinio bloko vertę 1. https://www.example.com/home.asp?UID=00000001|4525535F|F324D4G5|6FC95348

6 pav. Išsiųstos užklausos su vienetu pradiniame bloke pavyzdys.

Nors užklausa pateikia klaidą, paskutinė iššifruoto šifro teksto vertė pasikeitė, kadangi užklausoje buvo išsiųsta 0x01. 3. Taigi, jei kiekvieną kartą padidinsime tik paskutinį IV baitą (iki FF), neišvengiamai pasieksime vertę, kuri sukuria galiojančią užpildymo seką. Tik viena reikšmė (iš galimų 256 skirtingų baitų) pateiks teisingą 0x01 užpildymo baitą. Pasiekę šią vertę, turėtumėte gauti kitokį atsakymą nei kiti 255 prašymai.

7 pav. Išsiųstos užklausos pavyzdys su galiojančiu turiniu pradiniame bloke, kai dešifruotos reikšmes užpildymas (angl. padding) yra teisingas.

4. Iš to dabar galime išskaičiuoti „tarpinę vertę“ šioje pozicijoje, nes žinome, kad atlikus XOR operaciją su 0x3C gaunama 0x01 reikšmė. Jei [tarpinis baitas] ^{0x3C == 0x01, tada [tarpinis baitas] == 0x3C} 0x01, taigi [tarpinis baitas] == 0x3D 5. Kai žinosite tarpinio baito vertę, galime išsiaiškinti, kokia yra tikroji iššifruota vertė. Tiesiog atliksime XOR operaciją su ankstesniu šifro tekstu. Naudodamiesi šia technika, mes galime judėti atgal per visą bloką, kol kiekvienas tarpinės vertės baitas bus nulaužtas, taip gaunant iššifruotą vertę palaipsniui. Šis procesas yra automatizuotas tokiais įrankiais kaip „Padbuster“ ir kt.

Rekomendacijos

• Apsisaugojimui nuo POODLE užtenka visiškai išjungti suderinamumą su SSL 3.0 protokolu. Vartotojams tai reiškia programinės įrangos (naršyklių) atnaujinimą. Administratoriams reikėtų įsitikinti, kad SSL 3.0 yra išjungtas visuose OpenSSL biblioteką naudojančiuose servisuose. Kadangi tai yra pačio protokolo pažeidžiamumas alternatyvių sprendimų nėra. SSL v3.0 palaikymo išjungimas interneto naršyklėse: • Firefox: 1. surinkti naršyklės adreso laukelyje: about:config; 2. pasirinkti security.tls.version.min; 3. spausti modifikuoti (angl. Modify) ir nustatyti reikšmę 1. Šis metodas leis naršyklei naudoti tik šiuos protokolus TLSv1, TLSv1.1 and TLSv1.2. SSL v3.0 pagal nutylėjimą bus išjungtas naršyklėje Firefox 34 ir naujesnėse versijose. Taip pat galima įsidiegti naršyklės įskiepį (angl. plugin) “SSL Version Control”. • Thunderbird: 1. atidaryti Thunderbird nustatymus “Preferences”; 2. spausti “Advanced button”; 3. spausti “Config Editor”; 4. pasirinkti security.tls.version.min; 5. spausti “Modify” ir nustatyti reikšmę 1. • Internet Explorer: 1. atsidaryti “Setting menu”; 2. pasirinkti “Internet Options”; 3. spausti ant “Advanced tab”; 4. ties SSLv3 nuimti varnelę. • Safari: Įsidiegti naujausius„ Apple“ išleistus atnaujinimus.

Išvados

• Su laiku randamas pažeidžiamumas ir apėjimas net saugiausiems protokolams ir sistemoms. Tiesa, praėjo nemažai laiko, kol buvo aptiktas SSL 3.0 pažeidžiamumas. Pažeidžiamumas pavadintas POODLE ataka, remiasi nesaugiai naudojamu užpildymo (angl. padding) mechanizmu blokiniame šifravime. Atakos veikimas aprašytas rašto darbe. Apsisaugojimui nuo POODLE užtenka visiškai išjungti suderinamumą su SSL 3.0 protokolu. Taigi, norint būti saugiems, būtina visuomet atnaujinti programinę įrangą iki naujausios versijos. Kartu su nauja įrangos versija, dažniausiai ateina ir naujausi saugumo pataisymai. Nuo 2015 metų SSL 3.0 jau yra nebenaudojamas.

Literatūros sąrašas

„Block cipher mode of operation“ [1]: https://en.wikipedia.org/wiki/Block_cipher_mode_of_operation#CBC [Interaktyvus] [žiūrėta 2020 m. Gruodžio 5 d.]

„Kas yra SSL sertifikatai ir kaip veikia HTTPS“: http://pakamore.lt/kas-yra-ssl-sertifikatai-kaip-veikia-https/ [Interaktyvus] [žiūrėta 2020 m. Gruodžio 5 d.]

„Padding (cryptography)“: https://en.wikipedia.org/wiki/Padding_(cryptography) [Interaktyvus] [žiūrėta 2020 m. Gruodžio 5 d.]

„SSL v3.0 protokolo saugumo spraga“: https://www.nksc.lt/rekomendacijos/ssl_v30_protokolo_saugumo_spraga.html [Interaktyvus] [žiūrėta 2020 m. Gruodžio 5 d.]

„Padding Oracle Attack“: https://resources.infosecinstitute.com/topic/padding-oracle-attack-2/ [Interaktyvus] [žiūrėta 2020 m. Gruodžio 5 d.]

„POODLE bei Logjam pažeidžiamumai“: https://cert.litnet.lt/2015/06/poodle-bei-logjam-pazeidziamumai/ [Interaktyvus] [žiūrėta 2020 m. Gruodžio 5 d.]

„SSLv3 Poodle Vulnerability | Password theft“: https://www.youtube.com/watch?v=BbwC8f_aBMQ&t=683s&ab_channel=FierceOutlaws [Interaktyvus] [žiūrėta 2020 m. Gruodžio 6 d.]