cryptsetup 中的漏洞允許在 LUKS2 分區上禁用加密

最近有消息說 發現漏洞 (已在 CVE-2021-4122 下列出) 在 Cryptsetup 包中,用於加密 Linux 中的磁盤分區.

有人提到 要利用該漏洞,攻擊者必須具有物理訪問權限 到加密媒體,也就是說, 該方法主要用於攻擊加密的外部驅動器, 例如閃存驅動器,攻擊者可以訪問,但不知道解密數據的密碼。

進攻 它僅適用於 LUKS2 格式並與元數據操作相關聯 負責激活«在線重新加密»擴展,如果需要,它允許更改訪問密鑰,在不停止分區工作的情況下即時啟動數據重新加密過程。

由於使用新密鑰進行解密和加密的過程需要很長時間,“在線重新加密”可以讓您不中斷分區工作並在後台執行重新加密,逐步將數據從一個密鑰傳輸到另一個密鑰。 特別是,可以選擇一個空的目標密鑰,這樣您就可以將該部分轉換為未加密的形式。

攻擊者可以對 LUKS2 元數據進行更改,以模擬由於失敗而中止解密操作,並在所有者隨後激活和使用修改後的驅動器後實現對部分分區的解密。 在這種情況下,連接修改後的驅動器並使用正確密碼解鎖的用戶不會收到任何有關恢復中斷的重新加密操作的警告,只能通過“luks Dump”命令了解該操作的進度. 攻擊者可以解密的數據量取決於 LUKS2 標頭的大小,但默認大小 (16 MiB) 可以超過 3 GB。

問題 源於這樣一個事實,雖然重加密操作需要計算 和驗證新舊密鑰的哈希值,如果新狀態意味著缺少用於加密的密鑰(純文本),則不需要哈希值來恢復中斷的解密過程。

另外, 指定加密算法的 LUKS2 元數據不受修改保護 如果他們落入攻擊者手中。 為了阻止該漏洞,開發人員在 LUKS2 中添加了額外的元數據保護,現在根據已知密鑰和元數據內容驗證額外的哈希值,即攻擊者將不再能夠在不知道解密密碼的情況下秘密更改元數據。

典型的攻擊場景需要攻擊者有機會 把他們的手 在磁盤上幾次。 首先,不知道訪問密碼的攻擊者對元數據區域進行更改,在下次激活驅動器時啟動對部分數據的解密。

然後驅動器返回原位,攻擊者等待用戶通過輸入密碼連接它。 在用戶激活設備期間,在後台啟動重新加密過程,在此期間,部分加密數據被解密數據替換。 此外,如果攻擊者能夠再次獲得設備,驅動器上的一些數據將被解密。

該問題由 cryptsetup 項目的維護者發現並在 cryptsetup 2.4.3 和 2.3.7 更新中修復。

可以在這些頁面上跟踪發行版中問題解決方案的更新生成狀態: RHELSUSEFedoraUbuntu. 該漏洞僅在 cryptsetup 2.2.0 發布後出現,該版本引入了對“在線重新加密”操作的支持。 從選項“–disable-luks2-reencryption”開始可以用作安全解決方案。

終於 如果您有興趣了解更多信息 關於新聞,您可以在 以下鏈接。


成為第一個發表評論

發表您的評論

您的電子郵件地址將不會被發表。 必填字段標有 *

*

*

  1. 負責數據:MiguelÁngelGatón
  2. 數據用途:控制垃圾郵件,註釋管理。
  3. 合法性:您的同意
  4. 數據通訊:除非有法律義務,否則不會將數據傳達給第三方。
  5. 數據存儲:Occentus Networks(EU)託管的數據庫
  6. 權利:您可以隨時限制,恢復和刪除您的信息。