Zdieľaná skupina DH, čerstvé tajomstvá: prečo je útok lacnejší

Parametre skupiny sú zámerne verejné a práve táto verejnosť ich robí ľahko prehliadnuteľnými. V Diffie-Hellmane nad konečným poľom sú modul a generátor zdieľané, kým súkromné exponenty a výsledné kľúče relácie nie. Drahá fáza útoku sitom v číselnom poli závisí od skupiny, nie od jednej výmeny, takže jedna slabá skupina používaná všade sa stáva zdieľanou záťažou. Nazvať parametre verejnými je presné a mimo podstaty, pretože náklad, ktorý sa znova používa, je náklad na útok proti tejto skupine.

Verejná polovica nie je zraniteľná polovica, a v tom je pasca

Zvyčajný polovičný argument hovorí, že parametre sú zverejnené v norme, takže ich útočník už pozná a ich skrývanie by nič nezmenilo. Obe tvrdenia sú pravdivé a ani jedno nevyplýva z druhého. Dodávaná predvolená skupina je verejná a súkromná skupina, ktorú ste vygenerovali minulý týždeň, je tiež viditeľná pre každého, kto dokončí podanie ruky. Tajnosť nikdy nebola kontrolou; sú ňou sila a validácia.

Mení sa to, koľko miest zdieľa tú istú slabinu. Jedna organizácia, ktorá si generuje vlastnú 2048-bitovú skupinu, platí svoj vlastný náklad na útok, kým predvolená hodnota protokolu zvolená miliónmi amortizuje jeden náklad na všetkých. V tomto zmysle nezvyčajná skupina nie je automaticky lepšia. Nezvyčajná skupina, ktorá je príliš malá, je len menšie spoločné tajomstvo s menej očami na ňom.

Validácia je rovnako dôležitá ako veľkosť. Partner, ktorý pošle modul s malými činiteľmi alebo taký, ktorý nemá tvar očakávaný protokolom, môže prezradiť informácie o súkromnom exponente, aj keď bitová dĺžka vyzerá úctyhodne. Knižnice, ktoré odmietajú poškodené parametre už na vstupe, robia skutočnú prácu, a preto je ručne písané spracovanie parametrov zlým miestom na šetrenie úsilia.

Čo predpočítanie útočníkovi skutočne prinesie

Sito v číselnom poli má fázu, ktorá závisí len od prvočísla, a jeho výstup sa dá znova použiť proti každej výmene, ktorá toto prvočíslo používa. To je celý mechanizmus za historickou obavou: drahá časť sa zaplatí raz a hraničné náklady každej ďalšej relácie klesajú. Čerstvé exponenty stále chránia každú jednotlivú výmenu pred pasívnym pozorovateľom, pokiaľ je skupina dosť veľká na to, aby bolo sito neuskutočniteľné. Obe tvrdenia sú zlučiteľné a väčšina sporov na túto tému vzniká výberom jedného a odhodením druhého.

Práca o Logjame z roku 2015 ukázala degradáciu na 512-bitový Diffie-Hellman exportnej úrovne a odhadla, čo by stálo napadnutie väčších, široko znova používaných skupín s významnými prostriedkami. Ukážka bola konkrétna, odhady boli odhady a ani jedno nebolo dôkazom, že bola dešifrovaná konkrétna relácia VPN.

Citujte túto prácu pre mechanizmus a pre ukázanú degradáciu, nie ako meranie svojho nasadenia. Staré štatistiky o tom, koľko serverov zdieľalo predvolenú skupinu, opisujú internet toho roka, nie sieť, ktorú dnes môžete preskúmať. Užitočné, čo si odniesť, je otázka: vyjednávajú vaše zariadenia stále skupinu, ktorá je malá alebo slabo validovaná?

Štandardizované nie je to isté ako slabé

RFC 7919 definuje pomenované skupiny konečného poľa, aby sa obe strany dohodli na skupine podľa identifikátora a uplatňovali konzistentnú politiku. Byť štandardizovaný je výhoda, pretože odstraňuje nejednoznačnosť vyjednávania a umožňuje implementácii odmietnuť nepodporované veľkosti. Pomenovaná skupina je slabá len vtedy, keď je jej veľkosť pod politikou, ktorú tvrdíte, že dodržiavate, nie preto, že sa objavuje v dokumente. Rovnaká logika platí pre skupiny eliptických kriviek, ktoré majú inú štruktúru a iné režimy zlyhania.

Pri uvažovaní o nich držte konštrukcie oddelene. Záver o Diffie-Hellmane nad konečným poľom nehovorí nič o X25519 a záver o 1024-bitovej skupine MODP nehovorí nič o 3072-bitovej. Politika sily je na mechanizmus, na veľkosť a na verziu protokolu, a preto fráza silná kryptografia nie je preskúmateľné tvrdenie.

Autentizácia je druhá polovica a nenahrádza ju. Silná skupina bez overenia partnera necháva útočníka v strede a platný certifikát nezachráni 768-bitovú výmenu. Posudzujte ich ako dve nezávislé línie a potom potvrďte, že obe sú skutočne vyjednané.

Prečítajte vyjednanú skupinu na skutočnom spojení

Vyjednanú skupinu čítajte zo zariadenia, nie z konfiguračnej šablóny. Šablóny opisujú zámer a zaujímavá je hodnota, na ktorej sa obe strany dohodli počas posledného podania ruky. Na koncovom bode IPsec výstup stavu zvyčajne vypíše zvolený návrh vrátane skupiny MODP.

Zachyťte tento riadok pred zmenou politiky a po nej a oba uložte do záznamu zmeny. Porovnanie je dôkaz.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Ak stav po zmene stále ukazuje starú skupinu, spojenie znova nevyjednalo a úprava konfigurácie nič nedokázala. Reštartujte partnera alebo zrušte bezpečnostnú asociáciu a potom znova prečítajte stav. Politika uplatňovaná len na nové spojenia ponechá dlhotrvajúce tunely na starých parametroch, kým fungujú.

Skontrolujte skupinu a identitu partnera oddelene

Oddeľte, čo skupina chráni, od toho, kto je na druhom konci. Zaznamenajte metódu výmeny kľúčov, veľkosť skupiny a metódu autentizácie ako tri polia, pretože zlyhávajú nezávisle. Tunel, ktorý vyjednal 3072-bitovú skupinu, ale prijíma akýkoľvek certifikát, nie je rovnaké riziko ako ten, ktorý pripína partnera a používa 2048-bitovú skupinu.

Kritériá prijatia napíšte pred začiatkom preskúmania, aby výsledkom bolo porovnanie, nie názor. Minimálna veľkosť skupiny pre každú verziu protokolu, zoznam povolených pomenovaných skupín a povinné overenie partnera stačia na to, aby bolo rozhodnutie mechanické. Nejednoznačnosť v tomto zozname mení preskúmanie na spor a spory sa nenapravujú. Výstupom je potom zoznam koncových bodov, ktoré porušujú stanovené pravidlo.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Slučku uzavrite tým, že po náprave znova prečítate vyjednané hodnoty. Vyhovujúci konfiguračný súbor nie je dôkazom, že ho tunel prevzal. Dôkazom je výstup stavu a jedno čerstvé podanie ruky a ich zber zaberie menej času než stretnutie o tom, či sú potrebné.