Zombie uit crypto-oorlog bedreigt nu HTTPS

4 mrt. 2015 door Henk-Jan Buist Google+

4 mrt. 2015 door Henk-Jan Buist Google+

Nieuws - Versleuteld internetverkeer is kwetsbaar voor een nieuw ontdekte HTTPS-aanval genaamd Freak Attack. Deze aanval maakt gebruik van een relikwie uit de jaren 90.

We kunnen weer aan het patchen, want er is weer een gat gevonden in de manier waarop SSL wordt ingezet. Deze keer zorgt een downgrade-aanval ervoor dat servers een verouderde, kraakbare sleutel naar kwetsbare clients (Android, iOS, OS X) sturen, waardoor een aanvaller kan meekijken met HTTPS-verkeer. De oorzaak ligt in een misstap uit de jaren 90.

In de begindagen van cryptoproducten had Amerika de RSA-sleutels in handen en om te voorkomen dat andere landen ermee aan de haal gingen, werd het verboden (met straffen van één miljoen dollar en een celstraf) om crypto-producten te exporteren. Deze maatregel tegen het exporteren van crypto werd onderuit geschoffeld door pionier Phil Zimmerman die in 1994 PGP online zette, een beslissend moment in de crypto-oorlog.

Exportsleutels nog gebruikt

In de tijd dat alleen door de VS goedgekeurde naties een sleutel konden gebruiken, werd een aparte RSA-sleutel gebruikt voor geëxporteerde producten, zodat de VS eventueel toegang had tot beveiligde communicatie. Om zorg te dragen dat er wel sterke crypto gebruikt kon worden, werd een cijfermodule gemaakt die ervoor zorgt dat servers een sterke sleutel gebruiken als de client daarom vraagt en een (zwakkere) exportsleutel als deze vereist is.
Die tijd ligt lang en breed achter ons, maar de exportsleutel wordt nog altijd ondersteund. Ongeveer een derde van de servers die HTTPS gebruiken, waaronder Nederlandse media, politieke partijen, webwinkels, hogescholen en universiteiten, hostingbedrijven en ziekenhuizen, ondersteunt de exportsleutels. Ook grote financiële portals als PayPal en American Express gebruiken het nog.

Eenmalig kraken = eeuwig toegang

De nieuwe aanval Freak Attack is een downgrade-aanval die de cijfermodule gebruikt. Verkeer van clients (waaronder de standaardbrowser op Android en Safari op iOS) wordt ondervangen om vervolgens de server ervan te overtuigen terug te vallen op zo'n exportsleutel. Dit is een 40-bits sleutel en de onderzoekers tonen aan dat het met de rekenkracht van ingekochte cloudservers een uurtje of acht duurt om deze individuele sleutel te kraken. Veel sites werken nu hard om de cijfermodule uit te schakelen.
Onderzoeker Matthew Green legt uit dat dit probleem veel groter is dan het zo klinkt, omdat de meeste servers een statische exportsleutel gebruiken. Deze wordt de eerste keer dat de RSA-sleutel wordt geleverd aangemaakt en vervolgens gedurende de levensduur van de server altijd gebruikt. Dat betekent dat de sleutel eenmalig opgepikt kan zijn en een derde partij vervolgens MITM-aanvallen kan uitvoeren op alle HTTPS-communicatie van clients met de servers.