SWEET32: TLS 64位分组密码生日攻击_服务器

SWEET32:TLS64位分组密码生日攻击(CVE-2016-2183)

原文:https://access.redhat.com/articles/2548661

译者:Au2o3t@360GearTeam

学校:Terence@360GearTeam

口译员注释:

这个问题的攻击标准比较严格。攻击者必须获得大量机密，毕业论文作者基于30小时，610GB数据信息。此外，密文中的重要信息必须重复多次(这是最终能破译的内容)，几个密文及其在所有数百克数据信息中的位置应该已经知道。

简历

SSL/TLS协议中排序密码的特殊排列会受到冲击攻击。

位置

传统的64位分组排序密码在应用CBC时很容易受到冲击攻击。所有SSL/TLS协议都适用。使用3DES对称加密的密码套件受到影响(如ECDHE-RSA-DES-CBC3-SHA)。在RedHat商用Linux6和7内置的OpenSSL版本中，根据DES的密码套件优先于AES-256和AES-128，所以只有当AES-128和AES-256被明确禁止时，DES密码才会被打开。在RedHat商用Linux5内置的OpenSSL版本中，根据DES的密码套件优先于AES-256和AES-128，因此只有当AES-256被明确禁止时，才会打开DES密码。

排序密码的安全系数在于密钥的长度。所以对排序密码最好的攻击是在以下密钥间空，复杂度为2k。众所周知，当使用排序密码加密互联网大数据，如CBC数据时，分组长度对安全系数的危害是不可忽视的。

应用CBC时，用相同的密钥数据加密2(n/2)块数据信息后会有生日攻击，两个秘密块可能会发生碰撞。这意味着有相同的打字。几个标准的融合(下面讨论)将用于从数据加密数据信息中获得密文。

攻击的适用性

1.首先，DES/3DES是SSL/TLS中唯一使用64位块的密码。如前所述，包含3DES的密码套件比其他密码套件更小。

2.要攻击64位排序密码，您必须获得至少32GB的机密性。对于SSL/TLS，这必须在对话中完成(新的对话将重新协商对称密钥)。因此，HTTPS龙的人脉会受到影响。

3.在很多情况下，只能修复两个密文块之间的差异，或者不能形成具有特定危害的攻击。但是，如果考虑以下标准，攻击就可能被执行:

同样的秘密被反复推送。

已经知道了一部分密文。

4.在科研毕业论文提到的攻击定义的确认中，假设在整个通信过程中，在网络服务器和手机客户端之前传输一些验证动态口令(动态口令可以是基本身份认证的证书)。此时，攻击者根据暴力攻击在被攻击的网站中运行一个故意的JavaScript脚本来获取证书。

缓解对策

1.在SSL/TLS设备中，AES的优先级应该高于DES。这已经在RedHatLinux6和7内置的OpenSSL版本中完成了。

2.在红帽商用Linux5内置的OpenSSL版本中，3DES的优先级介于AES-256和AES-128之间，因此不能禁止根据AES-256的密码套件。

3.对于应用OpenSSL的网络服务器，不禁止使用AES-128和AES-256密码套件。RedHat商用Linux内置的Apache版本应用默认密码字符串，其中AES优先于DES/3DES密码套件。

解决办法

1.这个缺点来自于DES/3DES密码的设计方案，完成起来并不是什么难事。

2.这个缺点并不会立即危及红帽商用Linux5、6、7中的所有密码库(OpenSSL、NSS和GnuTLS)，因为默认密码目录中有很多优先级超过3DES的更强密码套件。

3.对于红帽商用Linux5，不需要根据AES-256禁止使用密码套件。对于RedHat商用Linux6和7，没有必要根据AES-128或AES-256禁止使用密码套件。

上游和下游安全恢复:

OpenSSL:

OpenSSL被评为低风险安全风险。他们已经在branch1.0.2中将3DES密码套件从“高”移到了“中”，并设置了默认设置，禁止在即将发布的新版本中使用。

NSS:

Mozilla正在对所有加密套件进行数据限制。

SWEET32: TLS 64位分组密码生日攻击

发表评论

评论列表（0条）