Недостатък, свързан с подложката PKCS #1 v1.5 в SSL сървърите, открит през 1998 г. и смятан за отстранен, все още оказва влияние върху няколко широко използвани проекта.
След обширни тестове, които измерват операциите от край до край, изследователите на Red Hat откриха няколко варианта на оригиналната атака за време, наричани общо „Атаката на Марвин“, които могат ефективно да заобиколят поправките и смекченията.
Проблемът позволява на нападателите потенциално да декриптират RSA шифри, да фалшифицират подписи и дори да декриптират сесии, записани на уязвим TLS сървър.
Използвайки стандартен хардуер, изследователите демонстрираха, че е възможно да се изпълни атаката на Марвин само за няколко часа, което доказва нейната практичност.
Red Hat предупреждава, че уязвимостта не е ограничена до RSA, а обхваща повечето асиметрични криптографски алгоритми, като ги прави податливи на атаки по странични канали.
„Макар че основното място на атаката са сървърите на TLS, основните проблеми, довели до широкото ѝ разпространение, са приложими за повечето асиметрични криптографски алгоритми (Diffie-Hellman, ECDSA и др.), а не само за RSA.“ – пише Red Hat.
Въз основа на проведените тестове следните реализации са уязвими към атаката на Marvin:
- OpenSSL (ниво TLS): Оракул на времето при декриптиране на RSA – CVE-2022-4304
- OpenSSL (ниво API): Направете API за декриптиране на RSA безопасен за използване с подложка PKCS#1 v1.5 – няма CVE
- GnuTLS (ниво TLS): Времената за отговор на неправилно оформени RSA шифри в ClientKeyExchange се различават от времената за отговор на шифри с правилна PKCS#1 v1.5 подложка. – CVE-2023-0361
- NSS (ниво TLS): Подобряване на постоянното време при операциите RSA. – CVE-2023-4421
- cryptography: Опит за смекчаване на атаките на Bleichenbacher при декриптиране на RSA; установено е, че са неефективни; вместо това се изисква поправка на ниво OpenSSL. – CVE-2020-25659
- M2Crypto: Облекчаване на атаките на Bleichenbacher за време в API за декриптиране на RSA; установено е, че са неефективни; вместо това се изисква поправка на ниво OpenSSL. – CVE-2020-25657
- OpenSSL-ibmca: Поправки за постоянно време за RSA PKCS#1 v1.5 и OAEP подложка във версия 2.4.0 – Няма CVE
- Go: crypto/rsa DecryptPKCS1v15SessionKey има ограничено изтичане на информация – Няма CVE
- GNU MP: mpz_powm_sec изтича нула бита от висок ред в резултата – Няма CVE
Атаката на Marvin няма съответен CVE, въпреки че подчертава фундаментален недостатък в дешифрирането на RSA, главно начина, по който се управляват грешките в подложките, поради разнообразието и сложността на отделните реализации.
Така че, въпреки че атаката Marvin е концептуален недостатък, не съществува единствена поправка или кръпка, която да може да се прилага универсално, и проблемът се проявява по различен начин във всеки проект поради уникалните им кодови бази и имплементация на RSA декриптиране.
Изследователите съветват да не се използва криптиране RSA PKCS#1 v1.5 и призовават засегнатите потребители да потърсят или да поискат от доставчиците да предоставят алтернативни начини за обратна съвместимост.
Простото деактивиране на RSA не означава, че сте в безопасност, предупреждава разделът с въпроси и отговори на страницата на Marvin Attack.
Рискът е същият, ако ключът или сертификатът RSA се използва на друго място в сървър, който го поддържа (SMTP, IMAP, POP пощенски сървъри и вторични HTTPS сървъри).
И накрая, Red Hat предупреждава, че сертифицирането по FIPS не гарантира защита срещу атаката Marvin, с изключение на сертифицирането на ниво 4, което гарантира добра устойчивост на атаки по странични канали.
Въпреки че няма видими признаци за използване на атаката Marvin от хакери в дивата природа, разкриването на подробности и части от тестовете и кода за фъзинг увеличава риска това да се случи в скоро време.
