Abo
  • Services:
Anzeige
Fremder Javascript-Code auf der dänischen Webseite von Visa - ein Angriff auf die fehlerhafte GCM-Verschlüsselung
Fremder Javascript-Code auf der dänischen Webseite von Visa - ein Angriff auf die fehlerhafte GCM-Verschlüsselung (Bild: Screenshot)

Forbidden Attack

Neben den Servern, die den Nonce-Wert direkt wiederholen, fanden sich etwa 70.000 Server, die den Nonce-Wert zufällig setzen. Das ist riskant. Aufgrund des Geburtstagsparadoxons steigt dabei die Wahrscheinlichkeit, einen doppelten Nonce-Wert zu erzeugen, wenn eine große Zahl von Verschlüsselungen mit demselben Schlüssel durchgeführt wird. Allerdings müssen dafür mehrere Giga- oder gar Terabytes an Daten über eine einzige TLS-Verbindung übertragen werden. Betroffen von dieser schwächeren Form der Sicherheitslücke sind unter anderem Geräte von A10 und Sangfor sowie IBM Lotus Domino.

Anzeige

Der verbotene Angriff von Joux

Wenn sich ein Nonce-Wert wiederholt, kann ein Angreifer daraus mit hoher Wahrscheinlichkeit den Authentifizierungsschlüssel des GCM-Verfahrens berechnen. Diesen Angriff hatte der Kryptograph Antoine Joux bereits während des Standardisierungsprozesses von GCM vorgestellt. Joux bezeichnete diesen Angriff damals als "Forbidden Attack", also als verbotenen Angriff. Verboten deshalb, weil korrekte Implementierungen den Nonce niemals wiederholen sollten.

Hat ein Angreifer den Authentifizierungsschlüssel mittels dieses verbotenen Angriffs erfahren, kann er damit Pakete manipulieren. Im Fall von HTTPS etwa könnte der Angreifer Javascript-Code in eine Webseite einfügen. Es gelang uns, den Angriff praktisch umzusetzen und auf verwundbaren Webseiten - beispielsweise der dänischen Webseite von Visa (www.visa.dk) - anzuwenden.

Zukünftige Protokolle robuster

Im Entwurf für das zukünftige Protokoll TLS 1.3 wurde das Problem fehlerhafter Nonces grundlegend behoben. Statt es der Implementierung zu überlassen, wie der Nonce-Wert gewählt wird, gibt der Standard diesen direkt vor. Auch die kurz vor ihrer Verabschiedung stehende Spezifikation für das Verschlüsselungsverfahren ChaCha20/Poly1305 in TLS sieht einen ähnlichen Mechanismus vor. Eine Implementierung, die den Nonce fehlerhaft implementiert, würde damit sofort auffallen, da mit korrekt arbeitenden Implementierungen keine Verbindung zustande käme.

Auch auf der grundlegenden Ebene der Algorithmen gibt es Ansätze, die Wahl der Nonces sicherer zu gestalten. Verschlüsselungsmodi mit sogenannten Synthetic IVs (SIV) generieren den Initialisierungsvektor selbst, er muss nicht durch die Implementierung oder das Protokoll gesetzt werden. Im Rahmen des Caesar-Wettbewerbs sind mehrere Verfahren vorgeschlagen worden, die dies umsetzen, auch wird zur Zeit eine Variante des GCM-Verfahrens namens AES-GCM-SIV in der IETF diskutiert.

Die entdeckten Sicherheitslücken mit fehlerhaften Nonces sind keine Schwäche des TLS-Protokolls selbst, es handelt sich um Fehler in der Implementierung. Doch einmal mehr zeigt sich, welche Tücken es bei der korrekten Implementierung von TLS gibt. Es scheint, dass fast jeder Fehler, den man bei der Implementierung von TLS machen kann, auch von irgendwem gemacht wird.

Der Code, der für den Scan verwendet wurde, sowie der Code für den Angriff wurden auf Github veröffentlicht.

 TLS/GCM: Gefahr durch doppelte Nonces

eye home zur Startseite
Moe479 21. Mai 2016

naja, wenn sicherheit allein durch nichtwissen gewährleistet wird, dann ist das securety...

longthinker 20. Mai 2016

Was ist denn das für ein seltsamer Einwand? Sicherheit ist bei VISA ausschließlich direkt...

v2nc 20. Mai 2016

Haha hab mich schäbig gelacht

hannob (golem.de) 20. Mai 2016

Wir haben uns das natürlich auch gefragt. Zumindest für die zwei identischen Werte (die...



Anzeige

Stellenmarkt
  1. über Ratbacher GmbH, Karlsruhe
  2. SSI Schäfer Noell GmbH, Giebelstadt, Obertshausen
  3. DRÄXLMAIER Group, Garching
  4. über JobLeads GmbH, Hamburg


Anzeige
Spiele-Angebote
  1. 4,99€
  2. 19,99€
  3. 29,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Blackberry Key One

    Android-Smartphone mit Hardware-Tastatur kostet viel

  2. Arrow Launcher 3.0

    Microsofts Android-Launcher braucht weniger Energie und RAM

  3. Die Woche im Video

    Angeswitcht, angegriffen, abgeturnt

  4. Hardlight VR Suit

    Vibrations-Weste soll VR-Erlebnis realistischer machen

  5. Autonomes Fahren

    Der Truck lernt beim Fahren

  6. Selektorenaffäre

    BND soll ausländische Journalisten ausspioniert haben

  7. Kursanstieg

    Bitcoin auf neuem Rekordhoch

  8. Google-Steuer

    Widerstand gegen Leistungsschutzrecht auf EU-Ebene

  9. Linux-Kernel

    Torvalds droht mit Nicht-Aufnahme von Treibercode

  10. Airbus A320

    In Flugzeugen wird der Platz selbst für kleine Laptops knapp



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Intel C2000: Weiter Unklarheit zur Häufung von NAS-Ausfällen
Intel C2000
Weiter Unklarheit zur Häufung von NAS-Ausfällen
  1. Super Bowl Lady Gaga singt unter einer Flagge aus Drohnen
  2. Lake Crest Intels Terminator-Chip mit Terabyte-Bandbreite
  3. Compute Card Intel plant Rechnermodul mit USB Type C

XPS 13 (9360) im Test: Wieder ein tolles Ultrabook von Dell
XPS 13 (9360) im Test
Wieder ein tolles Ultrabook von Dell
  1. Die Woche im Video Die Selbstzerstörungssequenz ist aktiviert
  2. XPS 13 Convertible im Hands on Dells 2-in-1 ist kompakter und kaum langsamer

Mechanische Tastatur Poker 3 im Test: "Kauf dir endlich Dämpfungsringe!"
Mechanische Tastatur Poker 3 im Test
"Kauf dir endlich Dämpfungsringe!"
  1. Patentantrag Apple denkt über Tastatur mit Siri-, Emoji- und Teilen-Taste nach
  2. MX Board Silent im Praxistest Der viel zu teure Feldversuch von Cherry
  3. Kanex Faltbare Bluetooth-Tastatur für mehrere Geräte gleichzeitig

  1. Re: sehr clever ... MS

    FreiGeistler | 01:33

  2. Re: Erklärung für einen Kryptodepp

    freebyte | 01:28

  3. Ich habe es natürlich verkackt.

    __destruct() | 01:28

  4. Re: First World Problems

    picaschaf | 01:21

  5. Re: Anscheinend gibt es keine gesetzlichen Vorgaben.

    picaschaf | 01:17


  1. 20:21

  2. 11:57

  3. 09:02

  4. 18:02

  5. 17:43

  6. 16:49

  7. 16:21

  8. 16:02


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel