4

Estou a ler sobre CCA porém não consigo compreender em nenhum site que busco, como funciona este ataque e como possivelmente evitá-lo?

2 Respostas 2

4

O chosen-ciphertext attack ("ataque com cifra escolhida") pode se referir tanto a um ataque num sistema de criptografia não autenticado (i.e. que só se preocupa com a confidencialidade mas se esquece da integridade e autenticidade) quanto a um método de criptanálise.

Ataque

A encriptação sozinha apenas garante a confidencialidade da comunicação (i.e. que alguém que esteja observando - eavesdropping - a comunicação, mas não alterando - tampering - descubra o que está sendo comunicado), não sua integridade. Isso significa que, em muitos casos, ainda que o atacante não conheça todo o conteúdo da comunicação, ele pode modificar essa comunicação em trânsito (por exemplo) de modo a obter uma série de vantagens. Em alguns casos, até mesmo a obtenção da mensagem original.

Vou dar um exemplo arbitrário, porém semelhante a alguns cenários encontrados na prática: digamos que você tenha um servidor de mensagens, onde Alice, Bob e Mallory possuam contas. Esse servidor usa a criptografia AES-CBC para comunicar com os clientes, de modo que se Alice quiser mandar uma mensagem para Bob ela tem de fazer o seguinte:

  • Ela escolhe o destinatário e coloca no cabeçalho: to: roberto. from: alice.;
  • Ela coloca o conteúdo no corpo da mensagem: mensagem: blá, blá, blá;
  • Ela escolhe um IV aleatório e faz a criptografia usando uma chave compartilhada entre ela e o servidor (pode ser uma chave de sessão única, negociada durante o login).

O resultado seria (por exemplo):

{"iv":"2e6b036434e9dc857ee34476a618f0cb", "ct":"u0LGWohZ9ce05XkV2A3W2o8xbwp49nHtRXMivpfmULwfDjDMvkjr237fDrXpg/JgTYHkcWu5y3ACxmDGuamyVw=="}

Quando essa string é enviada ao servidor, ele decripta usando a chave comum, lê o nome do destinatário no cabeçalho, e em seguida coloca a mensagem na caixa de entrada do mesmo. O que poderia ocorrer de errado se a integridade da mensagem não for verificada?

  • Mallory intercepta a mensagem cifrada; ela não sabe seu conteúdo, não sabe a chave de criptografia, mas por alguma razão suspeita que o destinatário é Bob;
  • Ela pega o IV da mensagem e faz duas operações no mesmo:
    1. XOR desse IV com o que ela suspeita ser o destinatário Bob: IV = IV ^ \0\0\0\0roberto\0\0\0\0\0;
    2. XOR desse resultado com seu próprio nome de usuário: IV = IV ^ \0\0\0\0mallory\0\0\0\0\0;

A mensagem, com o IV trocado, é enviada para o servidor no lugar da original:

{"iv":"2e6b03642be7d28c63e55276a618f0cb", "ct":"u0LGWohZ9ce05XkV2A3W2o8xbwp49nHtRXMivpfmULwfDjDMvkjr237fDrXpg/JgTYHkcWu5y3ACxmDGuamyVw=="}

Quando o mesmo é decriptado, o resultado é:

to: mallory. from: alice. mensagem: blá, blá, blá

Então o servidor coloca na caixa de entrada de Mallory a mensagem que deveria ir para Bob...

var chave = CryptoJS.lib.WordArray.random(128/8);

$("button:eq(0)").click(function() {
  var mensagem = "to: roberto. from: alice. mensagem: " + $("input").val();
  $("code:eq(0)").text(mensagem);
  
  var iv = CryptoJS.lib.WordArray.random(128/8);
  $("code:eq(1)").text(iv);
  $("code:eq(3)").text(iv);
  
  var encrypted = CryptoJS.AES.encrypt(mensagem, chave, { iv:iv });
  $("code:eq(2)").text(encrypted);
  
  var bob = CryptoJS.enc.Utf8.parse("\0\0\0\0roberto\0\0\0\0\0");
  $("code:eq(4)").text(bob);
  
  var mallory = CryptoJS.enc.Utf8.parse("\0\0\0\0mallory\0\0\0\0\0");
  $("code:eq(5)").text(mallory);

  encrypted.iv.words[0] ^= bob.words[0] ^ mallory.words[0];
  encrypted.iv.words[1] ^= bob.words[1] ^ mallory.words[1];
  encrypted.iv.words[2] ^= bob.words[2] ^ mallory.words[2];
  encrypted.iv.words[3] ^= bob.words[3] ^ mallory.words[3];
  $("code:eq(6)").text(encrypted.iv);

  var decrypted = CryptoJS.AES.decrypt(encrypted, chave, { iv:encrypted.iv });
  $("code:eq(7)").text(CryptoJS.enc.Utf8.stringify(decrypted));
});
.mallory {
  background-color: #FFDDDD;
}
<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.1.1/jquery.min.js"></script>
<script src="https://crypto-js.googlecode.com/svn/tags/3.1.2/build/rollups/aes.js"></script>
<p>Mensagem: <input value="Blá, blá, blá"> <button>Cifrar</button></p>
<table>
<tr><td>PT: </td><td><code></code></td></tr>
<tr><td>IV: </td><td><code></code></td></tr>
<tr><td>CT: </td><td><code></code></td></tr>
<tr class="mallory"><td>IV: </td><td><code></code></td></tr>
<tr class="mallory"><td>⊕: </td><td><code></code></td></tr>
<tr class="mallory"><td>⊕: </td><td><code></code></td></tr>
<tr class="mallory"><td>=: </td><td><code></code></td></tr>
<tr><td>PT: </td><td><code></code></td></tr>
</table>

Para evitar esse ataque, é necessário usar um modo de operação autenticado ou - na impossibilidade de fazê-lo - aplicar um Autenticador de Mensagem (MAC) à cifra, de modo que o atacante não consiga modificar os dados encriptados sem que isso seja percebido.

Porém isso não basta: se seu protocolo não for muito bem pensado, mesmo que o atacante não consiga produzir uma cifra "válida" ele ainda pode interferir de forma negativa no mesmo. O vídeo sugerido por @Intruso na sua resposta, por exemplo, fala um pouco sobre o assunto (muito embora este outro vídeo que é parte do mesmo curso exemplifique melhor). Um dos exemplos é o mesmo citado anteriormente nesta resposta, e o outro é uma forma simplificada do ataque POODLE - onde a mera informação sobre por que uma determinada cifra foi rejeitada (MAC incorreto ou padding incorreto) é suficiente para permitir que um atacante decifre toda uma mensagem (submetendo cifras arbitrárias ao servidor e verificando qual mensagem de erro foi retornada, ou quanto tempo demorou pro servidor acusar um erro).

Para a criptografia funcionar é necessário portanto que nenhuma informação seja dada ao adversário tanto sobre a a chave e a mensagem mas também sobre a situação da cifra. Ou seja, quando a decifragem falhar, faça tudo o que tiver ao seu alcance para não deixar o adversário saber por que ela falhou (e isso é bem mais difícil do que parece...).

Criptanálise

No contexto da criptanálise, o CCA em geral tem com o objetivo de descobrir uma chave secreta usada por um adversário. Nele o atacante possui - por um tempo limitado ou ilimitado - a capacidade de enviar cifras (ciphertext) de sua escolha para que o usuário decifre, e receber de volta a mensagem (plaintext) correspondente ou, em um cenário mais limitado, somente saber se a cifra enviada é válida ou não (um "validation oracle").

Em uma de suas variantes, o atacante pode continuar fazendo isso depois de receber a resposta, escolhendo novas cifras a serem enviadas baseado nos resultados atuais (CCA Adaptativo), em outra ele tem de escolher todas as cifras de antemão, e após receber os resultados ele perde a capacidade de executar o ataque (ou seja, ela precisa tentar decifrar a chave somente com a informação que ele possui até então).

O mecanismo exato pelo qual a criptanálise é feita varia de algoritmo para algoritmo. Alguns são projetados de modo a serem resistentes a esse tipo de ataque, outros são reconhecidamente vulneráveis e não participam de processos no qual esse tipo de ataque é esperado (i.e. se projeta o protocolo criptográfico de forma que o atacante nunca possa obter informação útil a partir de cifras arbitrárias).

O ponto chave é que a grande maioria (todos?) dos sistemas criptográficos pode ser "quebrado" (ter sua chave recuperada com menos esforço que um ataque de força bruta) caso o atacante possua um certo número de pares plaintext/ciphertext. Vou dar um exemplo usando a Cifra de Vigenère, uma cifra histórica (i.e. não mais utilizada na prática) que pode ser quebrada com um único par conhecido.

Suponha que General A está mandando mensagens para General B usando uma cifra de Vigenère com uma chave desconhecida. O inimigo de alguma forma intercepta a mensagem e a substitui por algumas letras completamente aleatórias de sua própria escolha, digamos NLLCJOVFXXHMLY. General B decifra isso e obtém AKRUWNBXKWNEYX, que não faz o menor sentido. Pego de surpresa, e não achando que esse disparate vale a pena manter secreto, ele pega um telefone não seguro e chama General A: "O que você quer dizer com AKRUWNBXKWNEYX? Por acaso mudaram a chave sem me avisar?" Mas o inimigo tem uma escuta nessa linha, e agora sabe que NLLCJOVFXXHMLY decifra para AKRUWNBXKWNEYX. Ele pode então subtrair os dois textos (cada um sem sentido algum por si só) para obter MATHMATHMATHMA, e agora ele conhece a chave [podendo interceptar futuras comunicações no canal previamente seguro].

Fonte: essa resposta no crypto.SE

A resistência à criptanálise via CCA é importante porque, na prática, é muito difícil evitar que um atacante descubra alguns pares de mensagem/cifra. Um exemplo seria eu te mandar um arquivo por e-mail, você salvá-lo encriptado em algum lugar e eu depois dar um jeito de observar a cifra resultante. Como fui eu que te mandei o plaintext, eu saberei que aquele PT corresponde àquele CT. O exemplo acima é "forçado", mas demonstra a necessidade dessa característica para um algoritmo de encriptação ser considerado seguro.

0
0

CCA é um padrão de ataque, o modo como você pode executar ele geralmente depende do cenário que está tentando proteger (ou atacar).

Um vídeo com os conceitos básicos pode ser encontrado aqui: https://www.youtube.com/watch?v=AHQySAd8yvQ

1
  • 1
    Boa sugestão, mas eu vejo dois problemas com sua resposta: 1) ela é pouco mais que somente um link; o ideal seria que o conteúdo relevante estivesse na própria resposta, e não somente num recurso externo. 2) Embora qualquer referência adicional seja útil, não podemos assumir que os usuários desse site tenham domínio do inglês (ainda que muitos de nós tenhamos), e o vídeo linkado está nesse idioma, sem legendas.
    – mgibsonbr
    Commented 13/02/2015 às 20:33

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .