搜索

[3097] 2016-08-26_SWEET32攻击：3DES和Blowfish密码不安全

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-08-26_SWEET32攻击：3DES和Blowfish密码不安全 S W E E T 3 2 攻 击 ： 3 D E S 和 B l o w f i s h 密 码 不 安 全 原 创   E 安 全   E 安 全   2 0 1 6 - 0 8 - 2 6 E 安 全 安 全 8 月 月 2 6 日 讯 日 讯   法 国 国 家 信 息 与 自 动 化 研 究 所 （ 法 国 国 家 信 息 与 自 动 化 研 究 所 （ F r e n c h   I n s t i t u t e   f o r   R e s e a r c h   i n   C o m p u t e r   S c i e n c e   a n d   A u t o m a t i o n ， ，   I N R I A ） 的 两 ） 的 两 名 科 学 家 发 布 了 一 项 新 研 究 ， 详 细 阐 述 了 一 种 攻 击 名 科 学 家 发 布 了 一 项 新 研 究 ， 详 细 阐 述 了 一 种 攻 击 — 从 用 从 用 6 4 位 密 码 加 密 的 位 密 码 加 密 的 T L S （ （ H T T P S ） 流 量 恢 复 数 据 ， 更 确 切 地 说 ， 是 带 有 三 重 ） 流 量 恢 复 数 据 ， 更 确 切 地 说 ， 是 带 有 三 重 数 据 加 密 标 准 （ 数 据 加 密 标 准 （ 3 D E S ） 和 ） 和 B l o w f i s h 算 法 。 算 法 。 加 密 时 一 个 复 杂 的 主 题 ， 并 非 人 人 都 了 解 具 体 情 况 。 并 非 一 次 一 位 进 行 加 密 ， 而 是 分 组 加 密 数 据 。 加 密 分 组 越 大 ， 加 密 性 能 越 佳 。 分 组 密 码 算 法 （ 密 码 套 件 ） 取 加 密 密 钥 （ 随 机 生 成 字 符 串 ） 和 用 户 文 本 （ 这 种 情 况 下 是 6 4 位 分 组 ） ， 并 转 换 为 密 文 （ 加 密 数 据 ） 。 与 6 4 位 分 组 密 码 共 同 协 作 的 两 种 方 法 为 3 D E S 和 B l o w f i s h 。 3 D E S 大 多 用 于 T L S / S S L 加 密 H T T P S 和 S S H 流 量 ， 而 B l o w f i s h 更 多 用 于 V P N 客 户 端 。 H T T P S 和 和 V P N 连 接 设 置 不 当 面 临 危 险 连 接 设 置 不 当 面 临 危 险 两 名 法 国 研 究 人 员 K a r t h i k e y a n   B h a r g a v a n 和 G a ë t a n   L e u r e n t 在 6 4 位 密 码 上 创 建 了 实 际 攻 击 ， 允 许 攻 击 者 在 不 知 道 加 密 密 钥 的 情 况 下 获 取 用 户 提 供 算 法 的 明 文 数 据 。 这 类 攻 击 被 称 为 碰 撞 攻 击 （ c o l l i s i o n   a t t a c k ） 。 对 于 6 4 位 密 码 ， 研 究 人 员 只 从 理 论 层 面 做 了 详 细 阐 述 ， 而 他 们 在 实 际 攻 击 中 发 现 过 较 弱 密 码 。 I N R I A 研 究 人 员 目 前 已 发 布 了 相 对 快 速 实 际 的 6 4 位 密 码 攻 击 ， 他 们 表 示 ， 他 们 在 实 验 环 境 中 测 试 成 功 。 1 % - 2 % 的 所 有 互 联 网 流 量 可 能 易 受 的 所 有 互 联 网 流 量 可 能 易 受 S W E E T 3 2 攻 击 攻 击 这 种 攻 击 被 称 为 S W E E T 3 2 ， 需 要 一 些 特 殊 的 条 件 ， 比 如 在 密 码 分 组 链 接 （ C i p h e r   B l o c k   C h a i n i n g ， C B C ） 模 式 下 使 用 3 D E S 和 B l o w f i s h 密 码 的 服 务 器 ， 设 法 获 取 位 置 的 攻 击 者 嗅 探 3 D E S 和 B l o w f i s h 之 间 的 流 量 。
此 外 ， 连 接 到 客 户 端 的 服 务 器 必 须 支 持 持 续 的 T L S 会 话 ， 而 不 迫 使 加 密 密 钥 在 S W E E T 3 2 攻 击 中 重 新 协 商 。 研 究 人 员 表 示 ， 1 % - 2 % 的 整 个 互 联 网 流 量 可 能 易 受 S W E E T 3 2 攻 击 ， 取 决 于 网 站 管 理 员 如 何 配 置 服 务 器 。 S W E E T 3 2 攻 击 需 要 攻 击 需 要 3 0 - 3 8 个 小 时 个 小 时 如 果 攻 击 者 能 够 监 控 持 续 的 T L S 和 H T T P S 连 接 通 过 易 受 攻 击 的 密 码 套 件 协 商 ， 攻 击 者 可 以 使 用 恶 意 J a v a S c r i p t 文 件 插 入 客 户 端 （ 通 过 广 告 或 恶 意 软 件 ） ， 通 过 大 量 请 求 P i n g 服 务 器 。 这 些 请 求 通 常 伴 随 着 H T T P   c o o k i e 文 件 ， 嵌 入 H T T P S 数 据 流 ， 用 来 验 证 客 户 端 。 研 究 人 员 称 ， 3 0 - 3 8 小 时 之 间 不 断 发 送 服 务 器 请 求 ， 收 集 约 7 8 5   G B 的 流 量 ， 研 究 人 员 便 能 发 现 碰 撞 攻 击 ， 这 将 允 许 它 们 恢 复 C o o k i e 文 件 的 内 容 ， 包 含 验 证 和 用 户 会 话 详 情 。 之 后 ， 这 些 详 情 用 来 登 录 用 户 账 号 。 研 究 人 员 发 现 易 受 S W E E T 3 2 攻 击 的 网 站 包 括 e B a y 、 W a l m a r t 、 N A S D A Q 以 及 遍 布 全 球 的 银 行 。 研 究 人 员 还 在 V P N （ 更 准 确 地 说 是 O p e n V P N ） 上 演 示 了 一 个 类 似 的 攻 击 ， 持 续 B l o w f i s h 连 接 在 此 默 认 建 立 。 3 D E S 和 和 B l o w f i s h 需 要 步 需 要 步 R C 4 的 后 尘 的 后 尘 研 究 人 员 推 荐 软 件 制 造 商 、 浏 览 器 厂 商 和 服 务 器 管 理 员 远 离 不 安 全 的 6 4 位 分 组 密 码 ， 使 用 更 先 进 的 加 密 算 法 。 他 们 提 出 了 类 似 R C 4 的 放 弃 计 划 。 去 年 7 月 ， 一 份 研 究 报 告 详 细 介 绍 了 了 R C 4 攻 击 ， 而 一 年 后 的 今 天 ， 几 乎 所 有 浏 览 器 厂 商 ， 除 了 苹 果 ， 已 经 宣 布 放 弃 R C 4 加 密 支 持 。 O p e n S S L 项 目 已 经 将 3 D E S 支 持 从 O p e n S S L 1 . 1 . 0 默 认 构 建 中 移 除 ， O p e n S S L 1 . 1 . 0 计 划 将 于 即 将 到 来 的 几 个 月 正 式 发 布 。 O p e n V P N   2 . 3 . 1 2 将 在 使 用 B l o w f i s h 加 密 流 量 的 情 形 下 提 出 警 告 ， 但 仅 此 而 已 。 密 码 破 译 者 M a t t h e w   G r e e n 解 释 道 ， “ 这 些 不 是 最 简 单 的 攻 击 ， 是 一 个 严 重 的 问 题 ， 甚 至 存 在 于 实 际 攻 击 中 ， 成 功 攻 击 标 准 加 密 协 议 中 使 用 的 加 密 技 术 。 我 们 应 当 解 决 该 问 题 ， 像 发 布 报 告 这 样 的 行 动 意 义 重 大 。 ” E 安 全 注 ： 本 文 系 E 安 全 编 辑 报 道 ， 转 载 请 联 系 授 权 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理