22.08 // Крипто // Обход ограничений доступа к ключу за счет новых тайминг-атак

Новые достижения в тайминг-атаках на примере шифрования AES (Dag Arne Osvik, Adi Shamir, Eran Tromer, "Cache attacks and Countermeasures: the Case of AES") ставят под угрозу безопасность многих систем, делая бесполезным разделение контроля доступа к ключу. В тестовых примерах на OpenSSL и Linux dm-crypt/cryptoloop ключ раскрывался за несколько сотен или тысяч попыток в считанные секунды. Любой пользователь или процесс системы, какими бы ограниченными правами он ни обладал, может проделать эту операцию, например, если у него есть право на запись хотя бы одного файла в шифрованном разделе (контейнере).

Атаки основаны на измерении скорости работы кэш-памяти процессора при проведении пробных шифрований. Они также могут быть использованы удаленно. Например, посылая пакеты через VPN, пользователь может вычислить ключ VPN, который используется и другими пользователями, а затем расшифровать данные из их потоков. Нечто аналогичное было использовано против сети Tor.

Актуальна такая атака должна быть для операционных систем, находящихся на полностью шифрованном диске: любое, самое незначительное приложение сможет выполнить быструю серию пробных шифрований и вычислить ключ, хотя для прямого доступа к ключу у него нет прав. Для однопользовательских систем, подключенных к Интернету, эту работу могут выполнить ActiveX-компоненты, Java-апплеты и JavaScript, которые, казалось бы, должны быть изолированы от прямого доступа к ключам шифрования. Небезопасен в этом плане и запуск программ в изолированном окружении – виртуальных машинах, "песочницах" (sandbox), chroot-jail environment. Также от таких атак могут пострадать системы управления цифровыми правами – DRM.

Помимо шифрования AES могут быть уязвимы DES-подобные шифры, RSA, ECC и др. В меньшей мере – криптопримитивы без S-блоков или времязависимых операций (Serpent, SHA).

Частичное решение проблемы тайминг-атак, по мнению исследователей, может быть достигнуто, к примеру, в Linux-системах, за счет того, что криптографические примитивы включены в ядро ОС, и к ним можно ограничить доступ "недоверенных" процессов. Альтернативный вариант – поддержка операционной системой специальных режимов для "чувствительных" участков кода.

По этому поводу вспоминаются слова Шнайера, который утверждал, что криптография в ненадежных операционных системах бесполезна, а безопасных ОС, специально рассчитанных на использование криптографических протоколов, еще не создано и не появится в ближайшее время.

Источник: "openPGP в России"