टॉक्स-आरएस की लंबी यात्रा। भाग 1

हाय सब लोग!

मैं टॉक्स को पसंद करता हूं और इस परियोजना के प्रतिभागियों और उनके काम का सम्मान करता हूं। टॉक्स डेवलपर्स और उपयोगकर्ताओं की मदद करने के प्रयास में, मैंने कोड में देखा और संभावित समस्याओं पर ध्यान दिया, जिससे सुरक्षा की झूठी भावना पैदा हो सकती है। चूंकि मैंने मूल रूप से 2016 में ( रूसी में ) इस लेख को प्रकाशित किया था, इसलिए टॉक्स में कई सुधार किए गए हैं, और मैं एक टीम का नेतृत्व करता हूं जिसने रस्ट प्रोग्रामिंग भाषा (चेक -टॉक्स-आरएस ) का उपयोग करके खरोंच से सुरक्षित टॉक्स सॉफ़्टवेयर को फिर से लिखा है। मैं 2019 में जहरीले का उपयोग करने की सलाह देता हूं। आइए एक नजर डालते हैं कि वास्तव में हमें रस्ट में टॉक्स को फिर से लिखना क्या है।

2016 का मूल लेख

केवल E2E के आधार पर E2E सिस्टम की सुरक्षा को अनदेखा करने की एक अस्वास्थ्यकर प्रवृत्ति है। मैं आपके अपने निष्कर्ष निकालने के लिए मेरी अपनी टिप्पणियों के साथ पूरक उद्देश्य तथ्य प्रस्तुत करूंगा।

स्पॉयलर: टॉक्स डेवलपर्स मेरी बातों से सहमत हैं और मेरे स्रोत कोड पुल अनुरोध स्वीकार कर लिया गया।

तथ्य संख्या १। मास्टर ब्रांच टेस्ट में फेल हो जाती है

यह सब नोड पर ( रूसी में ) स्थापित करने के बारे में हैबर के लेखों से शुरू हुआ।
टिप्पणियों में, लोगों ने CentOS पर नोड बनाने और स्थापित करने की जटिलता के बारे में शिकायत की, इसलिए मैंने CMake पर एक बिल्ड सिस्टम लिखने का फैसला किया। कुछ दिनों के बाद, मैं अपने पीआर को फिरिनोड पर टॉक्स समुदाय को प्रस्तुत करने के लिए तैयार था, लेकिन मुझे समझ की कमी के साथ मुलाकात की गई:

किसी ने शुरुआत में सीमेक का योगदान दिया है, लेकिन अन्य डेवलपर्स यह नहीं जानते थे कि इसका उपयोग कैसे किया जाए और यह उनके कोड का निर्माण नहीं कर सकता है, इसलिए उन्होंने ऑटोटूल (एसआईसी!) पर स्विच किया, जो कि वे अब बेहतर जानना चाहते हैं।

मैंने उस कोड को नोट किया जो ट्रैविस सीआई में परीक्षणों को विफल करता है, फिर भी मास्टर शाखा में स्वीकार किया जाता है, लेकिन उन्होंने उत्तर दिया: "हम समझते हैं कि हमें परीक्षणों के साथ कुछ करने की आवश्यकता है, लेकिन इसे अभी के लिए होने दें।"

इसके बाद, मैंने इस आकर्षक संदेशवाहक के कोड को गहराई से देखना शुरू किया।

तथ्य संख्या 2। मुफ्त कॉल करने से पहले मेमसेट (ptr, 0, आकार)

मेरी आंख लग गई

memset(c, 0, sizeof(Net_Crypto)); free(c); 

यदि आप अभी भी पीवीएस-स्टूडियो से परिचित नहीं हैं और मेमसेट फ़ंक्शन के बारे में उसका लेख पीवीएस-स्टूडियो: कंपाइलर 'मेमसेट' फ़ंक्शन कॉल को हटा सकता है यदि बाद में उस मेमोरी क्षेत्र का उपयोग नहीं किया जाता है। कंपाइलर का तर्क सीधा है: "आप 'फ्री' कॉल करने के बाद इस वेरिएबल का उपयोग नहीं करने जा रहे हैं, मेमसेट ऑब्जर्व किए गए व्यवहार को प्रभावित नहीं करेगा, मुझे इस 'बेकार' कॉल को डिलीट करने दें।"

एक मेहनती छात्र के रूप में मैंने सोडियम_मेज़ेरो और TESTS के साथ प्रत्येक घटना को memset($DST, 0, $SIZE) में बदल दिया।

तथ्य संख्या 3। सार्वजनिक कुंजियों की तुलना समय पर हमलों के लिए असुरक्षित है

toxcore में सार्वजनिक कुंजी की तुलना करने के लिए वास्तव में एक बहुत अच्छा कार्य है:

 /* compare 2 public keys of length crypto_box_PUBLICKEYBYTES, not vulnerable to timing attacks. returns 0 if both mem locations of length are equal, return -1 if they are not. */ int public_key_cmp(const uint8_t *pk1, const uint8_t *pk2) { return crypto_verify_32(pk1, pk2); } 

crypto_verify_32 - NaCL / सोडियम क्रिप्टो लाइब्रेरी से एक फ़ंक्शन है, जो आपको समय के हमलों से बचने में मदद कर सकता है, क्योंकि यह निरंतर समय में काम करता है, जबकि मेम्कैंप पहली असमान बाइट पर टूट सकता है। कुंजी जैसे संवेदनशील डेटा की तुलना करने के लिए आपको crypto_verify_32 का उपयोग करना चाहिए।

बाइट-प्रति-बाइट निष्पादित स्ट्रिंग तुलनाएँ समय के हमलों द्वारा शोषण के लिए संवेदनशील होती हैं, उदाहरण के लिए एमएसीएस बनाने के लिए (Google की Keyczar क्रिप्टो लाइब्रेरी में यह भेद्यता देखें)।

टोक्सकोर प्रोजेक्ट का कोड आधार काफी व्यापक है, यही वजह है कि टोक्स का जन्म एक समय भेद्यता बग के साथ हुआ था:

 bool id_equal(const uint8_t *dest, const uint8_t *src) { return memcmp(dest, src, crypto_box_PUBLICKEYBYTES) == 0; } 

लेकिन यह सब नहीं है। डेवलपर्स अभी भी तीन अलग-अलग कार्यों का उपयोग करके कुंजियों की अपने तरीके से तुलना करना पसंद करते हैं: id_equal या public_key_cmp और crypto_verify_32 ।
यहाँ DHT से एक छोटा grep आउटपुट है, प्याज मार्ग और अन्य महत्वपूर्ण सबसिस्टम:

 if (memcmp(ping->to_ping[i].public_key, public_key, crypto_box_PUBLICKEYBYTES) == 0) { if (memcmp(public_key, onion_c->friends_list[i].real_public_key, crypto_box_PUBLICKEYBYTES) == 0) if (memcmp(public_key, onion_c->path_nodes_bs[i].public_key, crypto_box_PUBLICKEYBYTES) == 0) if (memcmp(dht_public_key, dht_public_key_temp, crypto_box_PUBLICKEYBYTES) != 0) if (Local_ip(ip_port.ip) && memcmp(friend_con->dht_temp_pk, public_key, crypto_box_PUBLICKEYBYTES) == 0) 

तथ्य संख्या 4। एक निरंतर समय में increment_nonce

 /* Increment the given nonce by 1. */ void increment_nonce(uint8_t *nonce) { uint32_t i; for (i = crypto_box_NONCEBYTES; i != 0; --i) { ++nonce[i - 1]; if (nonce[i - 1] != 0) break; // <=== sic! } } 

यदि इस तरह के ऑपरेशन में गुप्त पैरामीटर शामिल हैं, तो ये समय परिवर्तन कुछ जानकारी लीक कर सकते हैं। कार्यान्वयन के पर्याप्त ज्ञान के साथ हाथ में है, एक सावधान सांख्यिकीय विश्लेषण भी गुप्त मापदंडों की कुल वसूली के लिए नेतृत्व कर सकता है।

गैर-वेतन वृद्धि के लिए सोडियम में एक विशेष कार्य है:

 void sodium_increment(unsigned char *n, const size_t nlen) { size_t i = 0U; uint_fast16_t c = 1U; for (; i < nlen; i++) { c += (uint_fast16_t) n[i]; n[i] = (unsigned char) c; c >>= 8; } } 

एक गलती से विडंबनापूर्ण ईस्टर अंडे है कि increment_nonce फ़ंक्शन एक फ़ाइल में स्थित है जो शब्दों से शुरू होता है:

इस कोड को परफेक्ट होना है। हम एन्क्रिप्शन के साथ गड़बड़ नहीं करते हैं।

आइए इस संपूर्ण फ़ाइल पर एक करीब से नज़र डालें।

तथ्य संख्या 5। आप स्टैक में चाबियाँ और निजी डेटा पा सकते हैं

परेशानी कोड:

 /* Precomputes the shared key from their public_key and our secret_key. * This way we can avoid an expensive elliptic curve scalar multiply for each * encrypt/decrypt operation. * enc_key has to be crypto_box_BEFORENMBYTES bytes long. */ void encrypt_precompute(const uint8_t *public_key, const uint8_t *secret_key, uint8_t *enc_key) { crypto_box_beforenm(enc_key, public_key, secret_key); // Nacl/Sodium function } /* Encrypts plain of length length to encrypted of length + 16 using the * public key(32 bytes) of the receiver and the secret key of the sender and a 24 byte nonce. * * return -1 if there was a problem. * return length of encrypted data if everything was fine. */ int encrypt_data(const uint8_t *public_key, const uint8_t *secret_key, const uint8_t *nonce, const uint8_t *plain, uint32_t length, uint8_t *encrypted) { uint8_t k[crypto_box_BEFORENMBYTES]; encrypt_precompute(public_key, secret_key, k); // toxcore function return encrypt_data_symmetric(k, nonce, plain, length, encrypted); // toxcore function } 

एनएसीएल / सोडियम से एन्क्रिप्ट_डेट_स्मिथ्रिक crypto_box_detached_afternm कॉल करता है, मैं पूरे कोड नहीं डालूंगा, यहां अपने आप को जांचने के लिए एक लिंक है।

कोड की चार लाइनों में गलती करना मुश्किल लगता है, है ना?

चलो सोडियम में खुदाई करें:

 int crypto_box_detached(unsigned char *c, unsigned char *mac, const unsigned char *m, unsigned long long mlen, const unsigned char *n, const unsigned char *pk, const unsigned char *sk) { unsigned char k[crypto_box_BEFORENMBYTES]; int ret; (void) sizeof(int[crypto_box_BEFORENMBYTES >= crypto_secretbox_KEYBYTES ? 1 : -1]); if (crypto_box_beforenm(k, pk, sk) != 0) { return -1; } ret = crypto_box_detached_afternm(c, mac, m, mlen, n, k); sodium_memzero(k, sizeof k); return ret; } 

हमें मिलने वाली सभी जाँचों को मिटाकर:

  unsigned char k[crypto_box_BEFORENMBYTES]; int ret; crypto_box_beforenm(k, pk, sk); ret = crypto_box_detached_afternm(c, mac, m, mlen, n, k); sodium_memzero(k, sizeof k); return ret; 

क्या यह परिचित दिखता है? हाँ! यह टोक्सकोर से फंक्शन एन्क्रिप्ट_डाटा का थोड़ा संशोधित कोड है, एकमात्र अंतर यह है कि वे स्टैक पर कुंजी को सोडियम_मेज़ेरो से साफ करना भूल गए ... और इसमें भी गलतियाँ हैं: handle_TCP_handshake , handle_handrake , और शायद कहीं और भी।

तथ्य संख्या 6। कंपाइलर चेतावनी डममीज के लिए हैं!

टॉक्सकोर प्रोजेक्ट के देवता सभी संकलक चेतावनी को चालू करने की आवश्यकता से इनकार करते हैं, या वे उनके बारे में नहीं जानते हैं।

अप्रयुक्त कार्य (मैं परीक्षणों में चेतावनी से विशेष रूप से प्रसन्न हूं):

 ../auto_tests/dht_test.c:351:12: warning: unused function 'test_addto_lists_ipv4' [-Wunused-function] START_TEST(test_addto_lists_ipv4) ^ ../auto_tests/dht_test.c:360:12: warning: unused function 'test_addto_lists_ipv6' [-Wunused-function] START_TEST(test_addto_lists_ipv6) ^ ../toxcore/TCP_server.c:1026:13: warning: unused function 'do_TCP_accept_new' [-Wunused-function] static void do_TCP_accept_new(TCP_Server *TCP_server) ^ ../toxcore/TCP_server.c:1110:13: warning: unused function 'do_TCP_incomming' [-Wunused-function] static void do_TCP_incomming(TCP_Server *TCP_server) ^ ../toxcore/TCP_server.c:1119:13: warning: unused function 'do_TCP_unconfirmed' [-Wunused-function] static void do_TCP_unconfirmed(TCP_Server *TCP_server) ^ 

 ../toxcore/Messenger.c:2040:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2095:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2110:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ -range-तुलना] ../toxcore/Messenger.c:2040:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2095:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2110:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ -range-तुलना] ../toxcore/Messenger.c:2040:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2095:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2110:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ -range-तुलना] ../toxcore/Messenger.c:2040:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2095:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ ../toxcore/Messenger.c:2110:28: warning: comparison of constant 256 with expression of type 'uint8_t' (aka 'unsigned char') is always false [-Wtautological-constant-out-of-range-compare] if (filenumber >= MAX_CONCURRENT_FILE_PIPES) ~~~~~~~~~~ ^ ~~~~~~~~~~~~~~~~~~~~~~~~~ 

 ../auto_tests/TCP_test.c:205:24: warning: unsequenced modification and access to 'len' [-Wunsequenced] ck_assert_msg((len = recv(con->sock, data, length, 0)) == length, "wrong len %i\n", len); ^ ~~~ /usr/include/check.h:273:18: note: expanded from macro 'ck_assert_msg' _ck_assert_msg(expr, __FILE__, __LINE__,\ ^ 

और अप्रयुक्त चर के बारे में कुछ दर्जन चेतावनी, हस्ताक्षरित और अहस्ताक्षरित की तुलना, और अधिक।

मेरा निष्कर्ष

भंडार से उद्धरण:

हम चाहते हैं कि जहां तक ​​संभव हो सके टॉक्स जितना संभव हो उतना सरल हो।

यदि मैं, एक गैर-क्रिप्टोग्राफर, एक दिन में इस तरह के भयानक कीड़े पा सकता है, तो कल्पना करें कि एक महीने के लिए जानबूझकर खुदाई के बाद एक क्रिप्टोग्राफी विशेषज्ञ को कितनी चीजें मिल सकती हैं?

Tox के शुरुआती संस्करणों ने उन उपयोगकर्ताओं के लिए एक बड़ा खतरा उत्पन्न किया जो Tox सुरक्षा पर भरोसा करते हैं। मालिकाना समाधान भरोसे लायक नहीं हैं और यहां तक ​​कि खुले स्रोत के समाधान भी उतने सुरक्षित नहीं हैं जितने आप चाहते हैं। मैट्रिक्स में हालिया सुरक्षा उल्लंघन पर एक नज़र। आजकल बहुत सारे कीड़े तय हो गए हैं और उपयोगकर्ताओं के लिए सुरक्षा और गोपनीयता के लिए टॉक्स सबसे अच्छा विकल्प है।

अगली बार मैं आपको टॉक्सिक-आरएस की वर्तमान स्थिति के बारे में अधिक बताऊंगा। हमने जंग में क्या लागू किया है और आपको इसे क्यों करना चाहिए।

Reddit: टिप्पणियाँ