Verschlüsselung: Kryptographen zeigen neue Angriffe gegen RC4
Eine bislang wenig beachtete Schwäche von RC4 nutzt der Kryptograph Itsik Mantin für seine neue Angriffsmethode. Ein weiterer kürzlich vorgestellter Angriff betrifft IMAP-Verbindungen.
Vor 13 Jahren hat der Kryptograph Itsik Mantin zusammen mit dem RSA-Erfinder Adi Shamir Forschungsergebnisse veröffentlicht, die verschiedene Schwächen des Stromverschlüsselungsalgorithmus RC4 offenlegten. Mantin, der inzwischen für die US-Firma Imperva arbeitet, stellte jetzt auf der Black-Hat-Konferenz in Singapur ein Update zu seiner damaligen Forschung vor. Demnach lässt sich eine bislang wenig beachtete Schwäche in RC4 für praktische Angriffe ausnutzen. Mantin nannte die neue Attacke Bar Mitzvah - nach dem jüdischen Ritual für 13-Jährige.
Angriffsmethode wurde 13 Jahre lang kaum beachtet
Das Paper von 2001 hatte zwei Schwächen in RC4 offengelegt und damals für einige Furore gesorgt, weil dadurch ein Angriff auf das WEP-Protokoll möglich wurde. WEP war zur damaligen Zeit ein weit verbreiteter Standard zur Verschlüsselung von WLAN-Netzen, inzwischen ist es fast vollständig durch das neuere Protokoll WPA abgelöst. Doch die Schwäche von WEP betraf beispielsweise das TLS-Protokoll, das ebenfalls RC4 einsetzt, nicht.
Die zweite Schwäche, die Mantin als Invariance Weakness bezeichnet, erregte damals kaum Aufmerksamkeit. So hat RC4 die Eigenschaft, dass bestimmte schwache Schlüssel, die zufällig auftreten, zu einem vorhersehbaren Muster im untersten Bit des Schlüsselstroms führen. Derartige schwache Schlüssel sind relativ selten - nur einer von 16 Millionen Schlüsseln weist diese Schwäche auf. Doch wenn ein schwacher Schlüssel auftritt, lässt sich dies durch einen Angreifer erkennen, da bestimmte Bits in einem TLS-Handshake immer gleich sind.
Neu ist an dieser Attacke vor allem, dass sie in bestimmten Situationen auch durch einen rein passiven Angreifer ausgenutzt werden kann. Wenn ein Angreifer beispielsweise den Datenverkehr einer Webseite, auf der sehr viele Logins stattfinden, mitlesen kann, taucht unter Umständen irgendwann zufällig ein schwacher RC4-Schlüssel auf.
Ein anderes mögliches Angriffsszenario tritt dann auf, wenn das Opfer eines Lauschangriffs eine bösartige Webseite besucht, die sich unter der Kontrolle des Angreifers befindet. Der Angreifer kann in dem Fall permanente Neuverbindungen erzwingen.
IMAP und HTTP-Basic-Auth bedroht
Ein weiteres Forscherteam um den Kryptographen Kenny Paterson hat kürzlich ebenfalls neue Angriffsmethoden gegen den RC4-Algorithmus vorgestellt. Bekannt ist, dass im Schlüsselstrom von RC4 bestimmte Bits wahrscheinlicher sind als andere. 2013 konnte ein Team um Paterson bereits zeigen, dass sich dies für einen Angriff gegen TLS nutzen lässt, dafür mussten allerdings mehrere Milliarden Pakete beobachtet werden. Diese Schwäche von RC4 hat die Eigenschaft, dass die problematischen Wahrscheinlichkeiten in den ersten Bits des Schlüsselstroms größer sind.
Das konnten die Forscher für den neuen Angriff ausnutzen: In bestimmten Protokollen wird schon sehr früh ein Passwort übertragen. Konkret beschrieben wird ein Angriff auf das E-Mail-Protokoll IMAP und das HTTP-Basic-Auth-Verfahren. Durch das früher übertragene Passwort reduziert sich hier die Zahl der Pakete, die ein Angreifer mitlesen muss, auf etwa 60 Millionen. Ebenso wie bei der Bar-Mitzvah-Attacke kann ein Angreifer zumindest im Fall von HTTP-Basic-Auth einen Besucher auf eine bösartige Seite locken und damit eine Vielzahl an Verbindungen erzwingen.
RC4 offiziell nicht mehr zulässig
Beide Angriffe sind nur in seltenen Fällen praktikabel. Trotzdem sind sie erneut eine Warnung, dass das RC4-Verschlüsselungsverfahren aus heutiger Sicht nicht mehr sicher ist. Die Internet Engineering Task Force hatte vor kurzem bereits einen Standard veröffentlicht, der die Nutzung von RC4 in TLS untersagt. Das ist auch die Empfehlung von Mantin: Serverbetreiber sollten demnach RC4 deaktivieren, Nutzer sollten den Algorithmus im Browser abschalten und Browserherstellern sollten die Unterstützung von RC4 aus ihrer Software entfernen.
Der Firefox-Browser unterstützt seit kurzem RC4 nur noch für eine Whitelist von bestimmten Webseiten, die nach wie vor ausschließlich über den veralteten Algorithmus erreichbar sind. Einige wenige Webseiten unterstützen nach wie vor keine besseren Algorithmen, darunter beispielsweise die Webseite der aktuell stattfindenden Facebook-Entwicklerkonferenz.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
