Marvin és el retorn d'una vulnerabilitat de 25 anys que permet fer operacions de signatura i desxifrat RSA
Durant l'ESORICS 2023 (per les sigles en anglès Simposi europeu sobre investigació en seguretat informà tica) que es va celebrar del 25 al 29 de setembre als Països Baixos, un investigador de seguretat que treballa per a Red Hat, va presentar Marvin Attack, una tècnica d'atac que permet determinar les dades originals mesurant els retards durant les operacions de desxifrat basant-se en l'algorisme RSA.
Marvin Attack, és una variació del mètode Bleichenbacher, proposat el 1998, i continua el desenvolupament dels atacs ROBOT i New CAT publicats el 2017 i 2019.
L'atac Marvin és el retorn d'una vulnerabilitat de 25 anys que permet fer operacions de signatura i desxifrat RSA com un atacant amb la capacitat d'observar només el temps de l'operació de desxifrat realitzada amb la clau privada.
El 1998, Daniel Bleichenbacher va descobrir que els missatges d'error proporcionats pels servidors SSL per a errors a l'emplenament PKCS #1 v1.5 permetien un atac de text xifrat triat de forma adaptativa; Aquest atac trenca completament la confidencialitat de TLS quan s'utilitza amb xifratge RSA. El 2018, Hanno Böck, Juraj Somorovsky i Craig Young van demostrar 19 anys després que molts servidors d'Internet encara eren vulnerables a lleugeres variacions de l'atac original.
Bà sicament s'esmenta que l'essència del mètode és que un atacant, basant-se en diferents reaccions del servidor i diferents temps d'execució, podeu separar els blocs d'Oracle correctes i incorrectes agregats amb l'està ndard PKCS #1 v1.5 per alinear les dades xifrades al llarg del lÃmit del bloc. En manipular informació sobre l'exactitud dels blocs de rebliment, un atacant pot fer servir la força bruta per recrear un text xifrat adequat.
En aquest cas, l'atac no recupera directament la clau privada, sinó que només permet desxifrar-ne el text xifrat o generar un missatge signat fals. Per dur a terme un atac amb èxit, cal enviar un volum molt gran de missatges de prova per desxifrar-los.
L'ús d'un atac contra servidors TLS que utilitzen xifratge basat en claus RSA permet a l'atacant emmagatzemar passivament el trà nsit interceptat i després desxifrar-lo. Per als servidors que suporten PFS, dur a terme un atac es torna molt més difÃcil i lèxit depèn de què tan rà pid es dugui a terme latac.
A més, el mètode permet generar una signatura digital fictÃcia que verifica el contingut dels missatges ServerKeyExchange a TLS 1.2 o els missatges CertificateVerify a TLS 1.3 transmesos a l'etapa d'intercanvi de claus, que es pot utilitzar per realitzar atacs MITM per interceptar la connexió TLS entre el client i el servidor.
S'esmenta que la diferència entre el mètode Marvin es redueix a una tecnologia millorada per separar dades incrementals correctes i incorrectes, filtrar falsos positius, determinar amb més precisió els retards en els cà lculs i utilitzar canals addicionals de tercers durant el mesurament.
A la prà ctica, el mètode proposat permet desxifrar el trà nsit o generar firmes digitals sense conèixer la clau RSA privada. Per provar l'aplicabilitat de l'atac, es va publicar un script especial per verificar servidors TLS i eines per identificar problemes a les biblioteques.
el problema afecta diverses implementacions de protocols que utilitzen RSA i PKCS. Tot i que les biblioteques criptogrà fiques modernes contenen algun tipus de protecció contra atacs basats en el mètode Bleichenbacher, l'estudi va revelar que les biblioteques tenen canals de fugida oberts i no proporcionen un temps de processament constant per a paquets amb farciment correcte i erroni. Per exemple, la implementació de l'atac GnuTLS per part de Marvin no està lligada al codi que fa directament cà lculs relacionats amb RSA, sinó que utilitza diferents temps d'execució per al codi que decideix si mostrar un missatge d'error en particular.
L'autor de l'estudi també creu que la classe de vulnerabilitats considerada no es limita a RSA i pot afectar molts altres algoritmes criptogrà fics que depenen de biblioteques està ndard per a cà lculs de nombres enters.
Per confirmar la possibilitat de dur a terme l'atac Marvin a la prà ctica, l'investigador va demostrar l'aplicabilitat del mètode a aplicacions basades en les biblioteques M2Crypto i pyca/criptografia, en què unes poques hores van ser suficients per comprometre el xifratge en fer un experiment en un portà til mitjana.
Finalment si estàs interessat a poder conèixer més sobre això, pots consultar els detalls al següent enllaç.