Форум | Новинки | Объявления | iMag | Подписка | Публикации журнала | Материалы

Новости проекта

Отраслевые новости

Угрозы

Преступления

Наказания

Партнеры


Журнал "Information Security"

Каталог "IT-Security"

Рекламодателям

Сотрудничество


Материалы

Форум

ITSec Weekly

Календарь

Публикации

Подписка

Контакты

Ссылки

Партнеры

Мероприятия

 
    Новый вид атаки Padding Oracle позволяет перехватить закрытые ключи шифрования

Новый вид атаки Padding Oracle позволяет перехватить закрытые ключи шифрования


03.12.2018

Новый вид атаки Padding Oracle позволяет перехватить закрытые ключи шифрования

Международная группа исследователей из Института имени Вейцмана (Израиль), Аделаидского университета (Австралия) и Мичиганского университета (США)  разработали новый тип атаки по сторонним каналам, позволяющий понизить версии большинства текущих реализаций TLS и перехватить закрытые кличи шифрования.

 Новая техника, получившая название Cache Attacks (CAT), представляет собой модификацию первой практической атаки на RSA (Padding Oracle attack), предложенной Даниэлем Блейхенбахером (Daniel Bleichenbacher) два десятилетия назад.

 За прошедшие годы производители реализовали ряд мер защиты от атак подобного рода, однако, как оказалось, их можно обойти с помощью информации, полученной в атаках по сторонним каналам на кэш. С помощью сочетания атаки FLUSH+RELOAD, техники Browser Exploit Against SSL/TLS (BEAST) и предсказания переходов исследователям удалось понизить версии реализаций TLS в семи из девяти популярных библиотек (OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL, GnuTLS). Метод не сработал при тестировании на примере BearSSL и BoringSSL. Уязвимости получили идентификаторы CVE-2018-12404, CVE-2018-19608, CVE-2018-16868, CVE-2018-16869 и CVE-2018-16870.

 Техника Cache Attacks предполагает параллельное применение нескольких атак Padding Oracle, что в результате позволяет извлечь закрытые ключи шифрования при соединении, защищенном протоколом TLS. В теории, с помощью данного способа злоумышленник может похитить токен аутентификации для доступа к учетной записи пользователя (например, в Gmail) и перехватить соединения или контроль над аккаунтом.

 Основное отличие оригинальной и "модифицированной" версии атаки заключается в том, что для ее осуществления атакующий должен иметь доступ к уязвимой системе (с помощью вредоносного ПО или авторизовавшись в учетной записи под видом жертвы).

 По словам исследователей, техника CAT может применяться для атак на любое программное обеспечение, использующее вышеперечисленные уязвимые библиотеки, особенно OpenSSL и CoreTLS.

 Padding Oracle Attack использует расшифровку шифрованного текста для восстановления открытого текста путем отправки нескольких манипулируемых зашифрованных текстов.

 Flush+Reload – атака по сторонним каналам на кэш, когда отслеживается доступ к данным в совместно используемых страницах памяти.

 

Securitylab


Добавить комментарий

Автор:
Компания:
E-mail:
Уведомлять о новых сообщениях в этой теме да
нет
Текст сообщения:
Введите код:









Реклама на сайте

ПОИСК

СВЕЖИЙ НОМЕР
ПОДПИСКА НА НОВОСТИ

 

 

 

 

Рейтинг@Mail.ru

Яндекс цитирования

Форум | Новинки | Объявления | iMag | Подписка | Публикации журнала | Материалы

Бесплатная подписка | Форум | Контакты | Ссылки | О чем этот сайт

Copyright © 2003-2013, ООО "Гротек"
Использование материалов сайта возможно при указании активной гиперссылки на главную страницу этого сайта. Ссылка должна выглядеть так: Itsec.Ru.