Криптографическая уязвимость ROBOT угрожает безопасности Facebook

Ещё в 1998 году специалист Bell Laboratories Даниэль Блейхенбахер опубликовал статью, в которой описал проблемы в поведении TLS-сервера. Они возникали в случае шифрования обмена ключами между клиентом и сервером посредством алгоритма RSA.

Уязвимость использования RSA-шифрования

Для установления защищённого HTTPS-соединения клиент выбирает ключ сессии, шифрует его публичным ключом и отправляет серверу. Сервер дешифрует ключ, сохраняет его копию и использует для идентификации клиента. Проблема с RSA связана с тем, что он использует добавление ничего не значащих данных к зашифрованному ключу для повышения стойкости шифрования — padding.

В случае использования padding PKCS #1 1.5 атакующий просто направляет серверу случайные наборы ключей, спрашивая, верны ли они. Сервер отвечает положительно или отрицательно на эти запросы. Таким простым перебором и можно подобрать RSA-ключ сессии.

Но от использования RSA не отказались, и уже были найдены другие реализации подобного брутфорса. Наиболее свежим вариантом является DROWN (Decrypting RSA with Obsolete and Weakened eNcryption), обнаруженная в 2016 году.

ROBOT

Теперь группа специалистов обнаружила новую вариацию атаки, получившую название ROBOT (Return Of Bleichenbacher’s Oracle Threat). Проблема связана с тем, что многие поставщики серверного оборудования не могут реализовать раздел 7.4.7.1 стандарта TLS (RFC 5246). Именно в нём и описываются меры противодействия атаке Блейхенбахера.

Уязвимое оборудование

Оборудование Cisco, Citrix, F5, Radware и многих других производителей уязвимо перед проблемой ROBOT при использовании padding PKCS #1 1.5. Стоит отметить, что некоторые вендоры уже выпустили исправления. Среди них Bouncy Castle, Erlang, WolfSSl, MatrixSSL, Java/JSSE.

Отказ от RSA

Специалисты советуют временно отказаться от RSA-шифрования. Это не станет проблемой, поскольку большинство устройств поддерживают более надёжный протокол Диффи-Хеллмана на эллиптических кривых (Elliptic Curve Diffie Hellman, ECDH). И, хотя ROBOT базируется на проблемах, описанных ещё 19 лет назад, перед ней остаются уязвимы 27 из 100 наиболее популярных веб-сайтов. В их числе Facebook и PayPal. Подробный пример дешифровки трафика Facebook разобран в научной статье исследователей.

Проверка на уязвимость

Чтобы проверить ресурс на уязвимость и обнаружить уязвимые хосты, исследователи опубликовали специальный Python-скрипт, а также создали специальный раздел на своём сайте.