Transport Layer Security Nachtrag Angriffe

Transkript

1 Transport Layer Security Nachtrag Angriffe

2 TLS Replay Attack

3 TLS Replay Angriff Annahme Server sendet keine Nonce, oder immer gleiche Client generiert Pre-Master Secret, Schlüsselmaterial über KDF (deterministisch!) Anwendung: HTTPS mit POST Befehl, z.b. Kreditkartenzahlung Angreifer Zeichnet von Client gesendete Nachrichten auf Spielt Client-Nachrichten wieder ein Es wird gleiches Schlüsselmaterial erzeugt HTTPS POST wieder gültig Angreifer kann keine Nachrichten entschlüsseln, nur Anwendungsverkehr wiedereinspielen Server Nonce schützt Server vor Replay Angriffen Client Schlüsselerzeugung Schlüsselerzeugung Algorithmen, Zufallszahl Algorithmus, Zufallszahl, Zertifikat Pre-Master Geheimnis Verschlüsselt mit Pubkey Server MAC aller Nachrichten MAC aller Nachrichten Server

4 TLS Truncation Attack

5 TLS Truncation Angriff Bis SSLv2 wurde Session durch TCP FIN beendet wenn Angreifer FIN sendet wird Session sofort beendet Aber: nicht klar ob Angriff oder legitimes Ende Daher CloseNotify als gesicherte TLS Nachricht Erkennung ob Angriff, oder ob legitimes Ende Probleme Anwendung kann nicht erkennen ob legitimes Ende der Daten oder nicht Robustheit der Anwendung

6 TLS Renegotiation Attack

7 TLS Renegotiation Attack The TLS protocol, and the SSL protocol 3.0 and possibly earlier [ ] does not properly associate renegotiation handshakes with an existing connection, which allows man-in-the-middle attackers to insert data into HTTPS sessions, and possibly other types of sessions protected by TLS or SSL, by sending an unauthenticated request that is processed retroactively by a server in a postrenegotiation context, related to a "plaintext injection" attack, aka the "Project Mogul" issue.

8 Basic TLS Handshake

9 with client certificate (ideal)

10 with client certificate (typical) Authentication dependent on accessed directory

11 the attack Angreifer bringt Client dazu das von ihm definierte Command auszuführen Mit Credentials des Client These attacks can be prevented by cryptographically binding renegotiation handshakes to the enclosing TLS cryptographic parameters, thus allowing the server to differentiate renegotiation from initial negotiation, as well as preventing renegotiations from being spliced in between connections. RFC

12 Patch Status Fix auf Client und Server Seite notwendig Viele Server noch nicht gepatcht

13 Links zu Renegotiation Attack zip tiation_bug_exploited/ tanding_the_tls_renegoti.html