BEAST-PoC (ataque de texto plano elegido)

Esta prueba de concepto se centra en la criptografía detrás del ataque BEAST (Browser Exploit Against SSL/TLS) presentado por Thai Duong y Juliano Rizzo el 23 de septiembre de 2011. Esto es un ataque de texto plano elegido y permite recuperar información sensible si la seguridad de la capa de transporte utilizada es TLS1.0 o SSLv3. La prueba de concepto original se puede encontrar aquí: Here come the Ninjas

Nota: Esta es también una implementación de la vulnerabilidad descubierta originalmente por Phillip Rogaway. Descubierta en 2002, no se publicó ningún exploit hasta BEAST en 2011. OpenSSL ya conocía el problema y por eso actualizaron TLS1.0 a TLS1.1 en abril de 2006.

2 El IV de CBC para cada registro excepto el primero es el último bloque de cifrado del registro anterior. Por lo tanto, el cifrado no es seguro contra adversarios que puedan elegir textos planos de forma adaptativa;

Sé el BEAST

1. SSLv3/TLS1.0 y el modo de cifrado CBC

SSLv3/TLS1.0 son protocolos para cifrar/descifrar y asegurar tus datos. En nuestro caso, ambos usan el encadenamiento de modos de cifrado CBC. El texto plano se divide en bloques según el algoritmo de cifrado (AES, DES, 3DES) y la longitud es múltiplo de 8 o 16. Si el texto plano no completa la longitud, se añade un relleno al final para completar el espacio faltante. Te recomiendo encarecidamente que abras estas imágenes de cifrado y descifrado para leer este readme.

Básicamente esto es solo un simple XOR, también puedes ver este vídeo (no soy yo) https://www.youtube.com/watch?v=0D7OwYp6ZEc.

Presentaré el IV en el siguiente punto. Recuerda que todas estas propiedades nos ayudarán a llevar a cabo nuestro ataque.

2. Criptología

Cuando usamos CBC necesitamos un vector de inicialización llamado IV. Este IV es aleatorio (o fijo), pero en cualquier caso no debería ser predecible por nadie. En TLS1.0 y SSLv3 el primer IV de la petición es aleatorio, bien. Pero para ganar tiempo y no generar un nuevo IV aleatorio cada vez, la implementación de TLS1.0 y SSLv3 usaba el último bloque del texto cifrado anterior como IV. En otras palabras, el IV ahora es adivinable. Supondremos que la longitud de cada bloque será 8 (DES) y que el atacante tiene un MiTM para recuperar todo el cifrado.

Ejemplo:

C₀ | C_... | C_i-1 | C_i | C_i+1 |C_n

Ahora la parte interesante, estos son los diferentes pasos criptográficos del ataque para recuperar un byte:

primero enviamos una petición llamada C² para obtener el último bloque del cifrado, es decir, el siguiente IV de la segunda petición
esto es un ataque de texto plano elegido, por lo que el atacante puede enviar este mensaje bbbbbbbTHIS_IS_A_SECRET_COOKIE a través de la víctima.

Puedes notar las siete b antes de la cookie secreta. Si la longitud de un bloque es 8, necesitamos empujar 7 bytes conocidos. Esta información es muy importante, el atacante conoce los 7 primeros bytes del primer bloque.

¿Pero por qué? ¡Esto nos permite tener solo 256 posibilidades para encontrar un byte y no 256^8 para encontrar 8 bytes!

Ahora la víctima envía la petición y será cifrada así:

C₀ | C₁ | C₂ | C₃ | C₄

Donde C₀ = E_k(IV ⊕ bbbbbbbT) = E_k(C²_n ⊕ bbbbbbbT)

el atacante quiere recuperar la información en el bloque C₀ C₁, C₂ ... siempre necesita el bloque anterior
una tercera petición se envía después de construir un bloque especial P'₀. El primer bloque será cifrado así: C'₀ = E_k(P'₀ ⊕ IV') Como esto es un ataque de texto plano elegido, el atacante puede construir un bloque P'₀ así:

P'₀ = C²_n ⊕ C₄ ⊕ bbbbbbbX

El único elemento desconocido es X, hay 256 posibilidades, así que probará como máximo 256 caracteres. La petición se envía y se cifra así:

C'₀ = E_k(P'₀ ⊕ IV')
C'₀ = E_k(C²_n ⊕ C₄ ⊕ bbbbbbbX ⊕ IV') o C₄ ⊕ IV' = 0
C'₀ = E_k(C²_n ⊕ bbbbbbbX)
C'₀ = E_k(IV ⊕ bbbbbbbX)

Ahora compara: C'₀ y C₀, si son iguales, entonces acaba de encontrar el byte X en la posición 8. Si no coincide, reintenta con otro carácter y compara de nuevo, etc.

Ahora tenemos un byte, podemos obtener otro desplazando la petición anterior un lugar a la izquierda: bbbbbbTHIS_IS_A_SECRET_COOKIE. Ahora tiene seis b y también conocemos la T, por lo que tenemos un carácter desconocido. Construimos un nuevo P'₀ = C₀ ⊕ C₄ ⊕ bbbbbbTX etc...

Nota: otra forma con solo dos peticiones es establecer el primer bloque del texto plano y usar esta información para los tres XOR. Ya no necesitamos el último bloque de C². C₁ = E_k(C₀ ⊕ bbbbbbbT) y luego P'₀ = C₀ ⊕ C₄ ⊕ bbbbbbbX. También necesita comparar C'₀ y C₁. Esta es otra forma de hacerlo, puedes notar que en el PoC codifiqué las dos posibilidades :)

¡Ahora podemos recuperar todos los caracteres!

Lanzamiento

python BEAST-poc.py

Ataque

Un atacante no puede usar el protocolo HTTP porque el primer bloque estará lleno con GET / HTTP/1.1\r\n.

... no puede controlar los primeros bytes de cada petición porque siempre están establecidos como una cadena fija como GET /, POST /, etc. En su lugar, puede usar socket.

También necesita inyectar algo de javascript en una página maliciosa. La víctima debe estar conectada a esta página y permanecer en ella hasta que el ataque esté completo. Esto es un ataque de texto plano elegido, por lo que el atacante puede enviar a través del código javascript cada texto plano que quiera e interceptar el resultado con un Hombre en el Medio. Este es el diagrama del ataque:

beast

Este ataque necesita condiciones importantes para tener éxito (TLS1.0 o inferior, modo de cifrado CBC, MiTM, javascript malicioso). Pero Thai Duong y Juliano Rizzo demostraron que es posible y mostraron su exploit robando cookies en el sitio web de Paypal.

Todo está arreglado ahora y este ataque tiene poca probabilidad de realizarse.

Contribuidor

mpgn

Licencias

licencia MIT

BEAST-PoC

Más Populares