اخبار > تحلیل آسیب‌پذیری‌ CVE-2016-0701 کشف شده در OpenSSL

زمانی که پارامترهای DH مبتنی بر اعداد اول ایمن تولید نشود، باعث وجود مشکلاتی می‌شود. زمانی که یک برنامه از پیکربندی DH با پارامتر‌های مبتنی بر روی اعداد اولی که ایمن نیستند استفاده ‌کند، یک مهاجم می‌تواند از این اصل برای حمله استفاده کند. این مشکل در OpenSSL 1.0.2f برطرف شده است، اما نسخه‌های ۱٫۰٫۲e, 1.0.2d, 1.0.2c, 1.0.2b, 1.0.2a, 1.0.2 آسیب‌پذیرند.

۱    میزان تأثیر آسیب‌پذیری CVE-2016-0701

۱-۱    جدول تأثیر آسیب‌پذیری بر اساس شاخص شدت و معیارهای CVSS v2.0

۱-۲    جدول تأثیر آسیب‌پذیری بر اساس شاخص شدت و معیارهای CVSS v3.0

۲    تحلیل آسیب‌پذیری CVE-2016-0701

از لحاظ تاریخی، OpenSSL معمولاً پارامترهای DH را مبتنی بر اعداد اول ایمن تولید نکرده است. اخیراً (در نسخه ۱٫۰٫۲) پشتیبانی برای پارامترهای تولیدی به سبک X9.42 (مانند آن‌هایی که پشتیبانی RFC 5114 را نیاز دارند) ارائه شده بود. اعداد اول استفاده شده در همچنین فایل‌هایی ممکن است ایمن نباشد. زمانی که یک برنامه از پیکربندی DH با پارامتر‌های مبتنی بر روی اعداد اولی که ایمن نیستند استفاده ‌کند، سپس یک مهاجم می‌تواند از این اصل برای پیدا کردن یک تعریف‌کننده DH خصوصی همسان^(۱) استفاده کند. این حمله نیازمند این است که یک حمله‌کننده، چند handshake را کامل کند که در آن، peer از همان تعریف‌کننده DHH خصوصی استفاده می‌کند. برای مثال این مورد می‌تواند برای کشف یک تعریف‌کننده DH خصوصی مربوط به یک سرویس‌دهنده TLS استفاده بشود؛ اگر آن در حال استفاده مجدد از تعریف‌کننده DH خصوصی است یا در حال استفاده از دنباله‌های رمز ایستای DH⁽²⁾ است.

OpenSSL گزینه SSL_OP_SINGLE_DH_USE را برایDHE⁽³⁾ فراهم می‌کند. این مورد به صورت پیش‌فرض وجود ندارد. اگر این گزینه برقرار نشده باشد، سرویس‌دهنده از همان تعریف‌کننده DHH خصوصی استفاده مجدد می‌کند و این کار می‌تواند به این حمله، آسیب‌پذیر باشد. باور بر این است که خیلی از برنامه‌های کاربردی محبوب، این گزینه را به‌درستی تنظیم می‌کنند و خود را در معرض خطر قرار نمی‌دهند. OpenSSl قبل از ۱٫۰٫۲f، اگر از SSL_CTX_set_tmp_dh()/SSL_set_tmp_dh() استفاده کند و SSL_OP_SINGLE_DH_USE را برقرار نکند، در واقع از کلید استفاده مجدد خواهد کرد و در معرض خطر قرار خواهد داشت.

از SSL_CTX_set_tmp_dh_callback()/SSL_set_tmp_dh_callback() استفاده شده است و پارامترها و کلیدهاست شده‌اند و همچنین از SSL_OP_SINGLE_DH_USE استفاده نشده است. این یک ویژگی مستند نشده است و فایل‌های پارامتر شامل کلید نمی‌شوند. کلید قسمتی از گواهی است و همیشه از آن استفاده مجدد خواهد کرد. این امر تنها در نسخه ۱٫۰٫۲ پشتیبانی شده است.

اعداد اول ناامن توسط OpenSSL در زمانی که از dh_rfc5114 با گزینه dh_rfc5114 استفاده می‌کند، تولید می‌شوند. این فایل به فرمت X9.42 که شامل زیر گروه prime-order به اندازه q است، نوشته خواهد شد. این از نسخه ۱٫۰٫۲ به بعد پشتیبانی می‌شود و نسخه‌های قدیمی نمی‌توانند فایل‌هایی که از این راه تولید شده‌اند را بخوانند. برای حل این مشکل باید یک بررسی اضافی در جایی که پارامتر “q” در دسترس است انجام شود (مانند آنچه که در X9.42 در دسترس است). این فقط حمله شناخته شده را تشخیص می‌دهد و دفاع تنها برای دنباله‌های رمز DH ایستا ممکن است. این امر می‌تواند تأثیراتی روی کارایی داشته باشد. به اضافه گزینه SSL_OP_SINGLE_DH_USE به صورت پیش‌فرض برقرار شده است و نمی‌تواند آن را غیرفعال کرد. این مورد توسط Antonio Sanso (Adobe) در ۱۲ ژانویه ۲۰۱۶ گزارش شده است.

• این مشکل در OpenSSL 1.0.2f برطرف شده است، اما نسخه‌های زیر آسیب‌پذیرند:

۱٫۰٫۲e, 1.0.2d, 1.0.2c, 1.0.2b, 1.0.2a, 1.0.2

۱-۲    شرح دقیق حمله

حمله واقعی، برگرفته از مقاله “A Key Recovery Attack on Discrete Log-based Schemes Using a Prime Order Subgroup” است که در [۱] قرار دارد. این یک حمله بسیار حساب شده و در عین حال ساده است. در اینجا چگونگی انجام آن را بیان می‌کنیم و برای جزئیات بیشتر به [۱] مراجعه شود.

در نام‌گذاری  کلاسیک DH موارد زیر را داریم:

• P به عنوان عدد اول
• g به عنوان مولد به مرتبه p-1=q
• y کلید عمومی
• x کلید خصوصی

برای اینکه حمله به صورت کارا انجام شود، دو پیش‌نیاز وجود دارد:

1. مهاجم باید چند handshake را کامل کند که OpenSSL از همان تعریف‌کننده DH خصوصی استفاده می‌کند و این برای پیکربندی پیش‌فرض OpenSSL برای دنباله‌های رمز DHE (به‌عبارت‌دیگر، SSL_OP_SINGLE_DH_USE is not set ست نشده است) درست است و برای دنباله‌های رمز DH ایستا همیشه درست است. همان‌طور که در بالا ذکر شد، اکثر برنامه‌های کاربردی محبوب (مثل g. Apache mod_ssl) SSL_OP_SINGLE_DH_USE را ست می‌کنند.
2. DH با پارامترهای مبتنی بر اعداد اولی که ناامن هستند پیکربندی شده باشد یا اینکه Lim-Lee [1] نباشد. این در مورد RFC 5114 که p-1 = 2 *3 * 3 * 5 * 43 * 73 * 157 * 387493 * 605921 * 5213881177 * 3528910760717 * 83501807020473429349 * C489 (که C489 برابر با ۴۸۹ رقم عدد مرکب^(۴) است) خوب است اما مشکل آن محدود به RFC 51144 نمی‌شود. توجه داشته باشید که به منظور تولید فایل پارامتر RFC 5114 در فرمت ۴۲ با استفاده از openssl، می‌توان از دستور زیر استفاده کرد:

openssl genpkey -genparam -algorithm DH -pkeyopt dh_rfc5114:2

این دستور، چیزی شبیه زیر را تولید خواهد کرد:

که اعداد هگزادسیمال زیر را تعریف می‌کند:

حال توجه کنید که حمله چگونه به نظر می‌رسد:

• فرض کنید که سرویس‌دهنده (در اینجا OpenSSL) کلید خصوصی DH خود را xb انتخاب کند.
• سپس yb = g ^ xb (mod p)

سپس مهاجم:

• B را انتخاب می‌کند که ord(B) کوچک است و برابر با یکی از فاکتورهای کوچک p-1 است (به‌عنوان‌مثال در RFC 5114، ord(B) برابر با ۲ یا ۳ یا ۵ یا ۴۳ یا ۷۳ یا ۱۵۷ یا ۳۸۷۴۹۳ است).
• انتخاب xa
• محاسبه yb = g * xa (mod p) * B
• با دریافت کردن xb، مهاجم با استفاده از جستجوی جامع (برای TLS این به معنی تلاش برای handshake در جلسات^(۵) زیاد است) سعی می‌کند تا yb^xa * B^xa (mod pp) را به دست آورد.
• در این مرحله مهاجم j = xb (mod ord(B)) را پیدا کرده است.
• بعد از اینکه یک‌بار این کار انجام شد، مهاجم ممکن است برخی از مراحل بالا را با یک B’ (از نظر محاسباتی امکان‌پذیر) که ord(B’) کوچک است، تکرار کند.
• اسرار جزئی^(۶) می‌تواند با استفاده از قضیه^(۷) Chinese Remainder [3] ترکیب شوند.
• و برای بیت‌هایی که هنوز باقی‌مانده‌اند، روش‌ Shanks و روش lambdaی Pollard می‌تواند استفاده شود.

۱-۱-۲    ایمن‌سازی

با توجه به آنچه که قبلاً گفته شد، به منظور کار کردن با DH به صورت امن، در RFC 5114 دو گزینه وجود دارد:

1. در دنباله‌های رمز DH هرگز از کلیدها استفاده مجدد نکنید.
2. مقدار peer را اعتبار سنجی کنید. این مورد می‌تواند به‌سادگی با بررسی تساوی ya^q (mod p)=1 انجام شود.

برطرف کردن مشکل توسط OpenSSL برای این موضوع، یک بررسی اضافی را در جایی که یک پارامتر “q” در دسترس است، اضافه کرده است (پارامترهای متکی بر X9.42).

منابع

[۱] http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.44.5296

[۲] http://126kr.com/article/6kopiit5p3a

[۳] https://en.wikipedia.org/wiki/Chinese_remainder_theorem

[۴] https://www.openssl.org/news/vulnerabilities.html#y2016

[۵] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0701

[۶] https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0701