"क्रिप्टोग्राफी" शब्द पर, कुछ को अपने वाईफाई पासवर्ड, अपनी पसंदीदा साइट के पते के बगल में एक हरे रंग का लॉक याद है और किसी और के मेल में आना कितना मुश्किल है। अन्य लोग हाल के वर्षों की कमजोरियों को संक्षिप्त रूप में दोहराते हैं (DROWN, FREAK, POODLE ...), स्टाइलिश लोगो और चेतावनी तुरंत ब्राउज़र को अपडेट करते हैं।

क्रिप्टोग्राफी में यह सब शामिल है, लेकिन सार अलग है। नीचे की रेखा सरल और जटिल के बीच है। कुछ चीजें करना आसान है, लेकिन वापस पाने के लिए कठिन है: उदाहरण के लिए, एक अंडा तोड़ना। अन्य चीजें करना आसान है, लेकिन एक छोटा, महत्वपूर्ण महत्वपूर्ण हिस्सा गायब होने पर वापस पाने के लिए मुश्किल है: उदाहरण के लिए, "महत्वपूर्ण हिस्सा" कुंजी होने पर एक बंद दरवाजा खोलने के लिए। क्रिप्टोग्राफी इन स्थितियों का अध्ययन करती है और व्यवहार में उनका उपयोग कैसे करें।

पिछले वर्षों में, क्रिप्टोग्राफ़िक हमलों का संग्रह वैज्ञानिक लेखों से भरे आकर्षक लोगो के एक चिड़ियाघर में बदल गया है और एक सामान्य उदास भावना पैदा की है कि सब कुछ टूट गया है। लेकिन वास्तव में, कई हमले कई सामान्य सिद्धांतों पर आधारित होते हैं, और सूत्रों के अंतहीन पृष्ठ अक्सर विचारों को समझने में आसान हो जाते हैं।

लेखों की इस श्रृंखला में, हम बुनियादी सिद्धांतों पर जोर देने के साथ विभिन्न प्रकार के क्रिप्टोग्राफिक हमलों को देखेंगे। सामान्य शब्दों में और उस क्रम में काफी नहीं, लेकिन हम निम्नलिखित बताएंगे:

• बुनियादी रणनीतियों: जानवर बल, आवृत्ति विश्लेषण, प्रक्षेप, डाउनग्रेड और क्रॉस-प्रोटोकॉल।
  
• ब्रांड की कमजोरियाँ: FREAK, CRIME, POODLE, DROWN, लोगजाम।
  
• उन्नत रणनीतियाँ: ओरेकल हमले (वोडेन हमला, केल्सी हमला); बीच में मिलने का तरीका (मिलना-जुलना), जन्मदिन का हमला, सांख्यिकीय पूर्वाग्रह (अंतर क्रिप्टोनालिसिस, अभिन्न क्रिप्टानालिसिस, आदि)।
  
• तीसरे पक्ष के हमले और उनके करीबी रिश्तेदार, विफलता विश्लेषण के तरीके।
  
• सार्वजनिक-कुंजी क्रिप्टोग्राफी पर हमलों: क्यूबिक रूट, ब्रॉडकास्ट, संबंधित संदेश, कोपरस्मिथ हमला, पॉलीग - हेलमैन एल्गोरिथम, संख्यात्मक छलनी, वीनर हमला, ब्लेचेंबचेर हमला।

इस विशेष लेख में केल्सी के हमले तक की उपरोक्त सामग्री शामिल है।

मूल रणनीतियाँ

निम्नलिखित हमले इस अर्थ में सरल हैं कि उन्हें विशेष तकनीकी विवरण के बिना लगभग पूरी तरह से समझाया जा सकता है। हम जटिल उदाहरणों या उन्नत उपयोग मामलों में तल्लीन किए बिना, प्रत्येक प्रकार के हमले को सरलतम शब्दों में समझाते हैं।

इनमें से कुछ हमले ज्यादातर प्रासंगिकता खो चुके हैं और कई वर्षों से उपयोग नहीं किए गए हैं। अन्य लोग पुराने समय के हैं, वे अभी भी नियमित रूप से 21 वीं शताब्दी में बिना सोचे समझे क्रिप्टो सिस्टम डेवलपर्स पर रेंगते हैं। हम यह मान सकते हैं कि आधुनिक क्रिप्टोग्राफी का युग आईबीएम डीईएस के आगमन के साथ शुरू हुआ - पहला सिफर जो इस सूची के सभी हमलों से पीछे हट गया।

सरल पाशविक बल

एन्क्रिप्शन योजना के दो भाग होते हैं: 1) एक एन्क्रिप्शन फ़ंक्शन जो एक कुंजी के साथ एक संदेश (प्लेटेक्स्ट) प्राप्त करता है, और फिर एक एन्क्रिप्टेड संदेश बनाता है - सिफरटेक्स्ट; 2) एक डिक्रिप्शन फ़ंक्शन जो एक सिफरटेक्स्ट और एक कुंजी लेता है और प्लेनटेक्स्ट बनाता है। एन्क्रिप्शन और डिक्रिप्शन दोनों को कुंजी के साथ गणना करना आसान होना चाहिए - और इसके बिना कठिन।

मान लीजिए कि हम सिफरटेक्स्ट देखते हैं और इसे बिना किसी अतिरिक्त जानकारी के डिक्रिप्ट करने की कोशिश करते हैं (इसे सिफरटेक्स केवल अटैक कहा जाता है)। यदि हम किसी तरह जादुई तरीके से सही कुंजी पाते हैं, तो हम आसानी से सत्यापित कर सकते हैं कि परिणाम वास्तव में सही है या नहीं।

ध्यान दें कि दो निहितार्थ हैं। सबसे पहले, हम जानते हैं कि डिक्रिप्शन कैसे करना है, यानी क्रिप्टोकरेंसी कैसे काम करती है। क्रिप्टोग्राफी पर चर्चा करते समय यह एक मानक धारणा है। घुसपैठियों से सिफर कार्यान्वयन के विवरण को छिपाना एक अतिरिक्त सुरक्षा उपाय की तरह लग सकता है, लेकिन जैसे ही घुसपैठिए को इन विवरणों का पता चलता है, यह अतिरिक्त सुरक्षा अदृश्य रूप से और अपरिवर्तनीय रूप से खो जाती है। यह केर्खोफ का सिद्धांत है : दुश्मन के हाथों में पड़ने से असुविधा नहीं होनी चाहिए।

दूसरे, हम मानते हैं कि सही कुंजी एकमात्र कुंजी है जो एक उचित डिक्रिप्शन का नेतृत्व करेगी। यह भी एक उचित धारणा है; इसे निष्पादित किया जाता है यदि सिफरटेक्स कुंजी की तुलना में अधिक लंबा है और अच्छी तरह से पढ़ा जाता है। एक नियम के रूप में, यह वास्तविक दुनिया में होता है, विशाल अव्यवहारिक चाबियों या अन्य धोखाधड़ी के अपवाद के साथ , जो बेहतर ढंग से छोड़ दिया जाता है (यदि आपको यह पसंद नहीं है कि हमने स्पष्टीकरण को खारिज कर दिया है, तो कृपया यहां थ्योरम 3.8 देखें)।

उपरोक्त को देखते हुए, एक रणनीति बनती है: हर संभव कुंजी की जांच करें। इसे ब्रूट फोर्स कहा जाता है, और इस तरह के हमले को सभी व्यावहारिक सिफर के खिलाफ काम करने की गारंटी दी जाती है - अंत में। उदाहरण के लिए, ब्रूस बल सीज़र के सिफर को दरार करने के लिए पर्याप्त है, एक प्राचीन सिफर जहां कुंजी वर्णमाला का एक अक्षर है, जिसका अर्थ है 20 से अधिक संभव कुंजियाँ।

दुर्भाग्य से क्रिप्टोकरंसीज के लिए, कुंजी का आकार बढ़ाना ब्रूट फोर्स से बचाता है। जैसे-जैसे कुंजी आकार बढ़ता है, संभावित कुंजी की संख्या तेजी से बढ़ती है। आधुनिक कुंजी आकारों के साथ, एक सरल जानवर बल बिल्कुल व्यावहारिक नहीं है। यह समझने के लिए कि हमारा क्या मतलब है, 2019 के मध्य में सबसे तेजी से ज्ञात सुपर कंप्यूटर लें: आईबीएम का शिखर सम्मेलन , प्रति सेकंड 10 ¹⁷ संचालन के आदेश पर चरम प्रदर्शन के साथ। आज, एक सामान्य कुंजी लंबाई 128 बिट्स है, जिसका अर्थ है ^2,128 संभव संयोजन। सभी कुंजियों को मानते हुए समिट सुपर कंप्यूटर को ब्रह्मांड की आयु के लगभग 7800 गुना लेने की आवश्यकता है।

क्या पाशविक बल को एक ऐतिहासिक जिज्ञासा माना जाना चाहिए? बिल्कुल नहीं: यह क्रिप्टोनालिसिस कुकबुक में एक आवश्यक घटक है। शायद ही कभी कमजोर सिफर पाए जाते हैं कि उन्हें केवल एक स्मार्ट हमले के साथ फटा जा सकता है, बल के बिना एक डिग्री या दूसरे के उपयोग के बिना। कई सफल हैक लक्ष्य सिफर को कमजोर करने के लिए पहले एल्गोरिथम विधि का उपयोग करते हैं और फिर क्रूर बल चलाते हैं।

आवृत्ति विश्लेषण

अधिकांश ग्रंथ अस्पष्ट नहीं हैं। उदाहरण के लिए, अंग्रेजी ग्रंथों में कई अक्षर 'ई' और लेख 'द' हैं; बाइनरी फ़ाइलों में - जानकारी के टुकड़ों के बीच प्लेसहोल्डर के रूप में बहुत सारे शून्य बाइट्स। फ़्रिक्वेंसी विश्लेषण किसी भी हमले है जो इस तथ्य का शोषण करता है।

इस हमले के प्रति संवेदनशील एक सिफर का एक विहित उदाहरण एक साधारण प्रतिस्थापन सिफर है। इस सिफर में, कुंजी सभी अक्षरों के प्रतिस्थापन के साथ एक तालिका है। उदाहरण के लिए, 'g' को 'h', 'o' से 'j' से बदल दिया जाता है, इसलिए 'go' शब्द 'hj' में बदल जाता है। यह सिफर सरल जानवर बल के लिए मुश्किल है, क्योंकि बहुत सारे संभावित लुकअप टेबल हैं। यदि आप गणित में रुचि रखते हैं, तो प्रभावी कुंजी की लंबाई लगभग 88 बिट्स है: यह
$$$log_2 (26)$ । लेकिन आवृत्ति विश्लेषण आमतौर पर काम जल्दी करता है।

एक साधारण प्रतिस्थापन सिफर के साथ संसाधित निम्नलिखित सिफरटेक्स्ट पर विचार करें:

  XDYLY ALY UGLY XDWNKE WN DYAJYN ANF YALXD DGLAXWG XDAN ALY FLYAUX GR WN OGQL ZDWBGEGZDO 

चूंकि Y आम है, जिसमें कई शब्दों के अंत में शामिल हैं, हम अस्थायी रूप से मान सकते हैं कि यह पत्र e :

  XDeLe ALE UGLe XDWNKE WN DeAJeN ANF eALXD DGLAXWG XDAN ALE FLeAUX GR WN OGQL ZDWBGEGZDO 

XD जोड़ी को कुछ शब्दों की शुरुआत में दोहराया जाता है। विशेष रूप से, XDeLe के संयोजन से स्पष्ट रूप से these या there के शब्द निकलते हैं, इसलिए हम जारी रखते हैं:

  एल एले उग्ले थॉटकेन डब्ल्यूएन हेजेन एएनएफ एएलटी डीजीएलटीडब्ल्यूजी थान एले फ्लेयट जीआर डब्ल्यूएन ओजीक्यूएल जेडडब्लूजीजेडडीओ 

इसके अलावा, मान लीजिए कि L r , A - a और इसी तरह से मेल खाता है। आपको संभवतः कई प्रयास करने होंगे, लेकिन पूर्ण क्रूरता की तुलना में, यह हमला जल्द से जल्द स्रोत पाठ को पुनर्स्थापित करता है:

  आपके दर्शन में स्वप्न देखने की तुलना में स्वर्ग और पृथ्वी के क्षितिज में अधिक चीजें हैं 

कुछ के लिए, इस तरह के "क्रिप्टोग्राम" का समाधान एक आकर्षक शौक है।

पहली नज़र में लगता है कि आवृत्ति विश्लेषण का विचार अधिक मौलिक है। और यह बहुत अधिक जटिल सिफर पर लागू होता है। पूरे इतिहास में, विभिन्न सिफर डिजाइनों ने "पॉलीलफैबेटिक प्रतिस्थापन" का उपयोग करके इस तरह के हमले का सामना करने का प्रयास किया है। यहां, एन्क्रिप्शन प्रक्रिया में, पत्र प्रतिस्थापन तालिका जटिल लेकिन अनुमानित तरीकों में बदलती है जो कुंजी पर निर्भर करती है। इन सभी सिफर को कभी दरार करना मुश्किल माना जाता था; और फिर भी एक मामूली आवृत्ति विश्लेषण ने उन सभी को हरा दिया।

इतिहास में सबसे महत्वाकांक्षी पॉलीफेबेटिक सिफर और शायद सबसे प्रसिद्ध, द्वितीय विश्व युद्ध में एनिग्मा सिफर था। यह अपने पूर्ववर्तियों की तुलना में अपेक्षाकृत जटिल था, लेकिन लंबे और कठिन परिश्रम के परिणामस्वरूप, ब्रिटिश क्रिप्टोकरंसीज ने इसे आवृत्ति विश्लेषण के साथ क्रैक किया। बेशक, वे एक सुरुचिपूर्ण हमले का विकास नहीं कर सके, जैसा कि ऊपर दिखाया गया है; उन्हें खुले और एन्क्रिप्टेड ग्रंथों (तथाकथित "प्लेनटेक्स्ट अटैक") की प्रसिद्ध जोड़ी की तुलना करनी थी और यहां तक ​​कि एनगमा उपयोगकर्ताओं को परिणाम के विश्लेषण के साथ कुछ संदेशों को एन्क्रिप्ट करने के लिए उकसाया ("चयनित प्लेनटेक्स्ट पर आधारित हमला")। लेकिन इससे दुश्मनों और पराजित पनडुब्बियों की पराजित सेनाओं के भाग्य की सुविधा नहीं थी।

इस जीत के बाद, क्रिप्टोनालिसिस के इतिहास से आवृत्ति विश्लेषण गायब हो गया। आधुनिक डिजिटल युग के सिफर को बिट्स के साथ काम करने के लिए डिज़ाइन किया गया है, अक्षर नहीं। इससे भी महत्वपूर्ण बात यह है कि, इन सिफर्स को एक गंभीर समझ के साथ डिज़ाइन किया गया है, जिसे बाद में श्नाइयर के नियम के रूप में जाना जाता है: कोई भी एक एन्क्रिप्शन एल्गोरिथ्म बना सकता है जिसे वह स्वयं नहीं कर सकता। यह पर्याप्त नहीं है कि एन्क्रिप्शन सिस्टम जटिल लगता है: इसके लायक साबित करने के लिए, इसे कई क्रिप्टोकरंसी से निर्मम सुरक्षा समीक्षा से गुजरना होगा जो सिफर को दरार करने के लिए हर संभव प्रयास करेंगे।

प्रारंभिक गणना

200,000 की आबादी वाले प्रीकॉम हाइट्स के काल्पनिक शहर को लें। शहर के प्रत्येक घर में औसतन $ 30,000 का क़ीमती सामान है, लेकिन $ 50,000 से अधिक नहीं है। Precom में सुरक्षा बाजार को ACME Industries द्वारा एकाधिकार दिया गया था, जो पौराणिक कोयोट (टीएम) वर्ग के दरवाजे के ताले का उत्पादन करता है। विशेषज्ञ विश्लेषण के अनुसार, केवल एक बहुत ही जटिल काल्पनिक मशीन कोयोट-क्लास लॉक को तोड़ सकती है, जिसके निर्माण के लिए लगभग पांच साल और $ 50,000 निवेश की आवश्यकता होती है। क्या शहर सुरक्षित है?

सबसे अधिक संभावना नहीं है। अंत में, बल्कि एक महत्वाकांक्षी अपराधी दिखाई देगा। वह इस तरह का कारण होगा: “हाँ, मैं बड़ी लागत खर्च करूंगा। रोगी की अपेक्षा के पांच साल, और $ 50,000। लेकिन काम खत्म करने के बाद, मेरे पास इस शहर के सभी धन तक पहुंच होगी। अगर मैं अपने कार्ड सही ढंग से खेलता हूं, तो यह निवेश कई बार चुकाएगा। "

इसी तरह, क्रिप्टोग्राफी में। एक विशिष्ट सिफर के खिलाफ हमलों को लागत और लाभ के एक क्रूर विश्लेषण के अधीन किया जाता है। यदि अनुपात अनुकूल है, तो हमला नहीं होगा। लेकिन हमले जो कई संभावित पीड़ितों पर तुरंत हमला करते हैं वे लगभग हमेशा भुगतान करते हैं, और इस मामले में सबसे अच्छा डिजाइन अभ्यास यह मान लेना है कि वे दिन से शुरू हुए थे। हमारे पास अनिवार्य रूप से मर्फी के नियम का एक क्रिप्टोग्राफिक संस्करण है: "सब कुछ जो वास्तव में सिस्टम को तोड़ सकता है सिस्टम को तोड़ देगा।"

प्रारंभिक गणना के साथ एक हमले के लिए कमजोर एक क्रिप्टोकरेंसी का सबसे सरल उदाहरण एक कुंजी का उपयोग किए बिना एक निरंतर एल्गोरिथ्म के साथ एक सिफर है। यह सीज़र सिफर के साथ मामला था, जो केवल वर्णमाला के प्रत्येक अक्षर को तीन अक्षरों को आगे बढ़ाता है (तालिका लूप की जाती है, इसलिए वर्णमाला में अंतिम अक्षर तीसरे के साथ एन्क्रिप्टेड है)। यहां फिर से, केर्खॉफ सिद्धांत प्रकट होता है: जैसे ही सिस्टम हैक होता है, यह हमेशा के लिए हैक हो जाता है।

अवधारणा सरल है। यहां तक ​​कि एक नौसिखिया क्रिप्टो सिस्टम डेवलपर को खतरे के बारे में पता होने और तदनुसार तैयार करने की संभावना है। यदि आप क्रिप्टोग्राफी के विकास को देखते हैं, तो इस तरह के हमले ज्यादातर सिफर के लिए अनुपयुक्त थे, जो कि सीज़र के सिफर के पहले सुधारित संस्करणों के साथ शुरू हुआ, जो कि पॉलीफैलेबेटिक सिफर के पतन तक था। इस तरह के हमले क्रिप्टोग्राफी के आधुनिक युग के आगमन के साथ ही लौट आए।

यह रिटर्न दो कारकों के कारण है। सबसे पहले, अंत में, काफी जटिल क्रिप्टोकरंसी दिखाई दिए, जहां हैकिंग के बाद शोषण की संभावना स्पष्ट नहीं थी। दूसरे, क्रिप्टोग्राफी इतनी व्यापक है कि लाखों लोग हर दिन निर्णय लेते हैं कि क्रिप्टोग्राफी के किन और किन हिस्सों में पुन: उपयोग किया जाए। कुछ समय पहले विशेषज्ञों ने जोखिमों का एहसास किया और अलार्म उठाया।

पूर्वसंवादों के साथ हमले को याद रखें: लेख के अंत में हम वास्तविक जीवन से दो क्रिप्टोग्राफिक उदाहरणों पर विचार करेंगे, जहां इसने एक महत्वपूर्ण भूमिका निभाई।

प्रक्षेप

यहाँ प्रसिद्ध जासूस शर्लक होम्स है, जो अशुभ डॉ। वाटसन पर प्रक्षेप के साथ एक हमले का प्रदर्शन कर रहा है:

मैंने तुरंत अनुमान लगाया कि आप अफगानिस्तान से आए हैं ... मेरे विचार इस प्रकार थे: "यह व्यक्ति प्रकार से एक डॉक्टर है, लेकिन उसका सैन्य असर है। तो एक मिलिट्री डॉक्टर। वह उष्णकटिबंधीय से आया था - उसका चेहरा अंधेरा है, लेकिन यह उसकी त्वचा की एक प्राकृतिक छाया नहीं है, क्योंकि उसकी कलाई बहुत अधिक whiter हैं। क्षीण चेहरा, जाहिर है, बहुत नुकसान हुआ और बीमारी का सामना करना पड़ा। वह अपने बाएं हाथ में घायल हो गया था - वह इसे गतिहीन और थोड़ा अप्राकृतिक रखता है। कहाँ, कटिबंधों के तहत, एक ब्रिटिश चिकित्सा चिकित्सक को कठिनाइयों का सामना करना पड़ा और एक घाव हो सकता है? बेशक, अफगानिस्तान में। ” विचार की पूरी ट्रेन को एक सेकंड भी नहीं लगा। और इसलिए मैंने कहा कि आप अफगानिस्तान से आए थे, और आप हैरान थे।

व्यक्तिगत रूप से प्रत्येक सबूत से, होम्स बहुत कम जानकारी निकाल सकते हैं। वह उन सभी की एक साथ जांच करके ही अपने निष्कर्ष पर आ सकता था। प्रक्षेप हमले समान कुंजी को लागू करने के परिणामस्वरूप प्राप्त खुले और एन्क्रिप्टेड ग्रंथों के ज्ञात युग्मों की खोज, इसी तरह से काम करता है। प्रत्येक जोड़ी से अलग-अलग अवलोकन निकाले जाते हैं, जो हमें कुंजी के बारे में एक सामान्य निष्कर्ष निकालने की अनुमति देते हैं। ये सभी निष्कर्ष तब तक अस्पष्ट और बेकार हैं जब तक वे अचानक एक महत्वपूर्ण द्रव्यमान तक नहीं पहुंच जाते हैं और केवल संभव निष्कर्ष तक पहुंचते हैं: कोई फर्क नहीं पड़ता कि यह कितना अविश्वसनीय हो सकता है, यह सच होना चाहिए। उसके बाद, या तो कुंजी खोली जाती है, या डिक्रिप्शन प्रक्रिया इतनी परिपक्व हो जाती है कि इसे दोहराया जा सकता है।

हम एक सरल उदाहरण के साथ स्पष्ट करते हैं कि प्रक्षेप कैसे काम करता है। मान लीजिए हम अपने दुश्मन बॉब की निजी डायरी पढ़ना चाहते हैं। वह एक सरल क्रिप्टोकरेंसी की मदद से अपनी डायरी में हर नंबर को एन्क्रिप्ट करता है, जो उसने पत्रिका "क्रिप्टोग्राफी के नकली" में एक विज्ञापन से सीखा था। सिस्टम निम्नानुसार काम करता है: बॉब दो नंबरों का चयन करता है जिसे वह पसंद करता है: $$$एम$ और $$$एन$ । अब से, किसी भी संख्या को एन्क्रिप्ट करने के लिए $$$x$ वह गणना करता है $$$एमएक्स + एन$ । उदाहरण के लिए, यदि बॉब ने चुना $$$M = 3$ और $$$एन = 4$ फिर आंकड़ा $$$2$ के रूप में एन्क्रिप्ट किया गया $$$3 * 2 + 4 = 10$ ।

मान लीजिए कि हमने 28 दिसंबर को देखा कि बॉब अपनी डायरी में कुछ खरोंच रहा था। जब वह पूरा हो जाता है, तो हम चुपचाप उसे लेते हैं और अंतिम प्रविष्टि देखते हैं:

दिनांक: 235/520

प्रिय डायरी,

आज का दिन अच्छा था। 64 दिनों के बाद, मेरे पास ऐलिस के साथ डेट है, जो अपार्टमेंट 843 में रहती है। मुझे वास्तव में लगता है कि वह 26 साल की हो सकती है!

चूंकि हम बहुत गंभीरता से बॉब को उसकी तारीख पर फॉलो करने का इरादा रखते हैं (इस परिदृश्य में, हम 15 साल के हैं), तारीख का पता लगाना महत्वपूर्ण है, साथ ही ऐलिस का पता भी। सौभाग्य से, हम देखते हैं कि बॉब का क्रिप्टोकरेंसी एक प्रक्षेप हमले के लिए असुरक्षित है। हम नहीं जानते होंगे $$$एम$ और $$$एन$ , लेकिन हम आज की तारीख जानते हैं, इसलिए हमारे पास "प्लेनटेक्स्ट - सिफरटेक्स्ट" के दो जोड़े हैं। अर्थात्, हम जानते हैं कि $$$12$ में एन्क्रिप्ट किया गया $$$235$ , और $$$27$ - में $$$520$ । हम क्या लिखते हैं:

$$

$$M ∗ 12 + N = 235$$

$$

$$M ∗ 27 + N = 520$$

चूंकि हम 15 वर्ष के हैं, इसलिए हमें पहले से ही दो अज्ञात के साथ दो समीकरणों की प्रणाली के बारे में पता है, जो इस स्थिति में खोजने के लिए पर्याप्त है $$$एम$ और $$$एन$ बिना किसी समस्या के। प्रत्येक "प्लेनटेक्स्ट-सिफरटेक्स्ट" जोड़ी बॉब की कुंजी पर बाधा डालती है, और दो बाधाएं मिलकर कुंजी को पूरी तरह से बहाल करने के लिए पर्याप्त हैं। हमारे उदाहरण में, उत्तर $$$M = 19$ और $$$एन = 7$ (कम से $$$19x + 7 = 26$ $$$x = 1$ , इसलिए डायरी में 26 शब्द 'एक' से मेल खाता है, जो है, "वही" - लगभग। प्रति) है ।

इंटरपोलेशन के हमले, निश्चित रूप से, ऐसे सरल उदाहरणों तक सीमित नहीं हैं। प्रत्येक क्रिप्टोसिस्टम, जो एक अच्छी तरह से समझी जाने वाली गणितीय वस्तु और मापदंडों की एक सूची के लिए नीचे आता है, एक प्रक्षेप हमले का खतरा है - वस्तु जितना अधिक समझ में आता है, उतना ही अधिक जोखिम होता है।

शुरुआती अक्सर शिकायत करते हैं कि क्रिप्टोग्राफी "संभव के रूप में बदसूरत चीजों को डिजाइन करने की कला है।" इंटरपोल के हमलों को शायद काफी हद तक दोषी ठहराया जाता है। बॉब या तो एक सुरुचिपूर्ण गणितीय डिजाइन का उपयोग कर सकते हैं, या ऐलिस के साथ डेट की गोपनीयता रख सकते हैं - लेकिन अफसोस, आमतौर पर आप दोनों नहीं प्राप्त कर सकते हैं। यह बहुत स्पष्ट हो जाएगा जब हम अंततः सार्वजनिक कुंजी क्रिप्टोग्राफी के विषय पर आगे बढ़ेंगे।

क्रॉस प्रोटोकॉल / डाउनग्रेड

फिल्म "धोखे का भ्रम" (2013) में, भ्रम के कलाकारों के एक समूह ने भ्रष्ट बीमा मैग्नेट आर्थर ट्रेसलर के पूरे राज्य को धोखे में फंसाने की कोशिश की। आर्थर के बैंक खाते तक पहुंच प्राप्त करने के लिए, भ्रमकों को या तो अपना उपयोगकर्ता नाम और पासवर्ड प्रदान करना होगा, या उन्हें व्यक्तिगत रूप से बैंक में दिखाना होगा और योजना में भाग लेना होगा।

दोनों विकल्प बहुत कठिन हैं; लोगों का उपयोग मंच पर प्रदर्शन करने के लिए किया जाता है, न कि खुफिया अभियानों में भाग लेने के लिए। इसलिए, वे तीसरा विकल्प चुनते हैं: उनके साथी बैंक को कॉल करते हैं और आर्थर होने का नाटक करते हैं। बैंक पहचान के सत्यापन के लिए कई सवाल पूछता है, जैसे चाचा का नाम और पहले पालतू का नाम; अग्रिम में हमारे नायकों ने आसानी से चतुर सामाजिक इंजीनियरिंग की मदद से आर्थर से यह जानकारी प्राप्त की । अब से, उत्कृष्ट पासवर्ड सुरक्षा अब मायने नहीं रखती है।

(शहर की एक किंवदंती के अनुसार, जिसे हमने व्यक्तिगत रूप से जाँच की और पुष्टि की, क्रिप्टोग्राफर एली बेहेम एक बार बैंक टेलर के पास आया, जिसने एक गुप्त प्रश्न निर्धारित करने पर जोर दिया। जब कैशियर ने उसकी माँ की दादी का नाम पूछा, तो बीहैम ने हुक्म चलाना शुरू किया: "कैपिटल एक्स, लिटिल वाई, थ्री ... ")।

यह क्रिप्टोग्राफी में समान है, यदि दो क्रिप्टोग्राफिक प्रोटोकॉल का उपयोग समान संपत्ति की रक्षा के लिए समानांतर में किया जाता है, जबकि एक दूसरे की तुलना में बहुत कमजोर है। परिणामस्वरूप सिस्टम क्रॉस-प्रोटोकॉल हमले के लिए कमजोर हो जाता है जब एक मजबूत प्रोटोकॉल को छूने के बिना पुरस्कार पाने के लिए एक कमजोर प्रोटोकॉल पर हमला किया जाता है।

कुछ जटिल मामलों में, यह केवल कमजोर प्रोटोकॉल का उपयोग करके सर्वर से संपर्क करने के लिए पर्याप्त नहीं है, और एक वैध क्लाइंट की अनैच्छिक भागीदारी की आवश्यकता है। यह तथाकथित डाउनग्रेड हमले का उपयोग करके आयोजित किया जा सकता है। इस हमले को समझने के लिए, मान लें कि हमारे भ्रमकर्ताओं के लिए फिल्म की तुलना में अधिक कठिन काम है। मान लीजिए कि एक बैंक कर्मचारी (कैशियर) और आर्थर में कुछ अप्रत्याशित परिस्थितियां थीं, जिसके परिणामस्वरूप इस तरह के संवाद थे:

बर्गलर: हैलो? यह आर्थर ट्रेसलर है। मैं अपना पासवर्ड रीसेट करना चाहूंगा।

खजांची: बढ़िया। कृपया अपनी निजी गुप्त कोड बुक, पृष्ठ 28, शब्द 3 पर एक नज़र डालें। निम्नलिखित सभी संदेशों को कुंजी के रूप में इस विशेष शब्द के साथ एन्क्रिप्ट किया जाएगा। PQJGH। LOTJNAM PGGY MXVRL ZZLQ SRIU HHNMLPPPV ...

क्रैकर: अरे अरे, एक मिनट रुको। क्या यह वास्तव में आवश्यक है? क्या हम सामान्य लोगों की तरह बात नहीं कर सकते?

कैशियर: मैं ऐसा करने की सलाह नहीं देता।

क्रैकर: मैं बस ... सुनो, मैं एक घटिया दिन था, ठीक है? मैं एक वीआईपी ग्राहक हूं और इन बेवकूफ कोड किताबों को तूल देने के मूड में नहीं हूं।

खजांची: अच्छा। यदि आप जोर देते हैं, मिस्टर ट्रेसलर। तुम क्या चाहते हो?

क्रैकर: कृपया, मैं अपना सारा पैसा आर्थर ट्रेसलर नेशनल विक्टिम्स फंड में ट्रांसफर करना चाहूंगा।

(रोकें)।

खजांची: ठीक है। कृपया बड़े लेनदेन के लिए अपना पिन कोड प्रदान करें।

क्रैकर: मेरा क्या?

कैशियर: आपके व्यक्तिगत अनुरोध पर, इस आकार के लेनदेन में बड़े लेनदेन के लिए पिन की आवश्यकता होती है। यह कोड आपको खाता खोलते समय दिया गया था।

क्रैकर: ... मैंने उसे खो दिया। क्या यह वास्तव में आवश्यक है? क्या आप सिर्फ सौदे को मंजूरी नहीं दे सकते?

कैशियर: कोई नहीं। मुझे क्षमा करें, मिस्टर ट्रेसलर। फिर, यह आपके द्वारा अनुरोधित सुरक्षा उपाय है। यदि आप चाहें, तो हम मेलबॉक्स में एक नया पिन कोड भेज सकते हैं।

हमारे नायकों ने ऑपरेशन को स्थगित कर दिया। वे कई प्रमुख ट्रेसलर लेनदेन सुनते हैं, एक पिन कोड सुनने की उम्मीद करते हैं; लेकिन हर बार बातचीत कुछ रोचक ध्वनियों से पहले एक एन्क्रिप्टेड जिबरिश में बदल जाती है। अंत में, एक दिन योजना प्रभावी हो जाती है। वे धैर्यपूर्वक उस क्षण की प्रतीक्षा करते हैं जब टेसलर को फोन द्वारा एक प्रमुख लेनदेन पूरा करना होगा, वह लाइन से जुड़ता है, और फिर ...

थ्रेसलर: नमस्कार। मैं एक दूरस्थ लेन-देन जारी करना चाहता हूं, कृपया।

खजांची: बढ़िया। कृपया अपनी निजी गुप्त कोड बुक, पृष्ठ पर एक नज़र डालें ...

(पटाखा बटन दबाता है, खजांची की आवाज़ अश्रव्य आवाज़ में बदल जाती है)

कैशियर: - # @ $ # @ $ # * @ $ $ @ # * इस शब्द से कुंजी के रूप में एन्क्रिप्ट किया जाएगा। AAAYRR PLRQRZ MMNJK LOJBAN ...

थ्रेसर: क्षमा करें, मैं काफी समझ नहीं पाया। एक बार और कौन सा पेज? शब्द क्या है?

कैशियर: यह पेज @ # $ @ # * $) # * # @ () # @ $ (# @ * $ # (# *) है।

थ्रेसर: क्या?

कैशियर: शब्द संख्या बीस @ $ # @ $ #% # $।

थ्रेसलर: गंभीरता से! बहुत हो गया! आप और आपके सुरक्षा प्रोटोकॉल किसी तरह के सर्कस हैं। मुझे पता है कि आप सिर्फ मेरे साथ सामान्य रूप से बात कर सकते हैं।

कैशियर: मैं सलाह नहीं देता ...

थ्रेसलर: और मैं आपको अपना समय बर्बाद करने की सलाह नहीं देता। जब तक मैं अपने फ़ोन लाइन के साथ समस्याओं को ठीक नहीं करता, तब तक मैं इस बारे में अधिक नहीं सुनना चाहता। क्या हम इस सौदे की व्यवस्था कर सकते हैं या नहीं?

खजांची: ... हाँ। सब ठीक है। तुम क्या चाहते हो?

थ्रेसर: मैं लॉर्ड बिज़नेस इन्वेस्टमेंट्स को खाता संख्या में 20,000 डॉलर स्थानांतरित करना चाहूंगा ...

कैशियर: बस एक पल, कृपया। यह बहुत बड़ी बात है। कृपया बड़े लेनदेन के लिए अपना पिन कोड प्रदान करें।

थ्रेसर: क्या? ओह, निश्चित रूप से। 1234।

यहाँ पतन का हमला है। कमज़ोर प्रोटोकॉल, "बस सीधे बोलो", एक आपात स्थिति में एक विकल्प के रूप में इरादा था। और फिर भी हम यहां हैं।

आप यह सवाल पूछ सकते हैं कि कौन अपने सही दिमाग में, "सुरक्षित रूप से अन्यथा पूछे जाने तक" जैसी वास्तविक प्रणाली को डिजाइन करेगा, जो ऊपर वर्णित है। लेकिन जिस तरह एक काल्पनिक बैंक उन ग्राहकों को बचाने के लिए जोखिम लेता है जो क्रिप्टोग्राफी पसंद नहीं करते हैं, इसलिए पूरे सिस्टम को अक्सर उन आवश्यकताओं की ओर झुकाव होता है जो सुरक्षा के प्रति उदासीन या खुले तौर पर शत्रुतापूर्ण हैं।

यह ठीक वही कहानी है जो 1995 में SSLv2 के साथ हुई थी। अमेरिकी सरकार लंबे समय से क्रिप्टोग्राफी को एक ऐसे हथियार के रूप में मानने लगी है, जिसे बाहरी और आंतरिक दुश्मनों से दूर रखा जाता है। कोड के टुकड़े को संयुक्त राज्य अमेरिका से निर्यात के लिए व्यक्तिगत रूप से अनुमोदित किया गया था, अक्सर एल्गोरिथ्म के जानबूझकर कमजोर होने के अधीन। नेटस्केप, सबसे लोकप्रिय ब्राउज़र के डेवलपर, नेटस्केप नेविगेटर को केवल एसएसवी 2 को 512 बिट्स (और आरसी 4 के लिए 40 बिट्स) की प्रारंभिक रूप से कमजोर आरएसए कुंजी के साथ अनुमति दी गई थी।

सहस्राब्दी के अंत तक, नियम नरम हो गए थे और आधुनिक एन्क्रिप्शन तक पहुंच व्यापक रूप से उपलब्ध हो गई थी। हालाँकि, ग्राहकों और सर्वरों ने कई वर्षों तक कमजोर "निर्यात" क्रिप्टोग्राफी का समर्थन किया है, जो एक ही जड़ता के कारण क्रिप्टोग्राफी का समर्थन करता है जो एक पुरानी प्रणाली के लिए समर्थन बनाए रखता है। ग्राहकों ने सोचा कि वे एक सर्वर का सामना कर सकते हैं जो किसी और चीज का समर्थन नहीं करता है। नौकरों ने वैसा ही किया। बेशक, एसएसएल यह निर्धारित करता है कि क्लाइंट और सर्वर को सबसे अच्छा उपलब्ध होने पर कभी भी कमजोर प्रोटोकॉल का उपयोग नहीं करना चाहिए। लेकिन वही आधार ट्रेसलर और उनके बैंक के लिए मान्य था।

इस सिद्धांत को दो उच्च-प्रोफ़ाइल हमलों में आवेदन मिला, जो 2015 में एक के बाद एक एसएसएल प्रोटोकॉल सुरक्षा को हिलाकर रख दिया, दोनों को माइक्रोसॉफ्ट और आईआईएसआईए शोधकर्ताओं द्वारा खोजा गया। सबसे पहले, फरवरी में, FREAK हमले का विवरण सामने आया था, और तीन महीने बाद, Logjam नामक एक और इसी तरह का हमला, जिसे हम सार्वजनिक कुंजी क्रिप्टोग्राफी पर हमलों की ओर मुड़ते समय अधिक विस्तार से चर्चा करेंगे।

कमजोरपन FREAK ("स्मैक टीएलएस" के रूप में भी जाना जाता है) दिखाई दिया, जब शोधकर्ताओं ने क्लाइंट / सर्वर टीएलएस के कार्यान्वयन का विश्लेषण किया और एक जिज्ञासु त्रुटि पाई। इन कार्यान्वयनों में, यदि ग्राहक कमजोर निर्यात क्रिप्टोग्राफी के लिए भी नहीं पूछता है, लेकिन सर्वर अभी भी इस तरह की चाबियों के साथ प्रतिक्रिया करता है, ग्राहक कहता है "ठीक है" और सिफर के कमजोर सेट पर स्विच करता है।

उस समय, सभी ने निर्यात क्रिप्टोग्राफी को पुराना और उपयोग करने से मना किया था, इसलिए हमला एक वास्तविक झटका था और कई महत्वपूर्ण डोमेन प्रभावित हुए, जिसमें व्हाइट हाउस, यूएस टैक्स कार्यालय और एनएसए शामिल हैं। इससे भी बदतर यह है कि कई कमजोर सर्वरों ने प्रत्येक सत्र के लिए नए बनाने के बजाय समान कुंजियों का पुन: उपयोग करके प्रदर्शन को अनुकूलित किया। इसने प्रोटोकॉल को कम करने के बाद, प्रीकंप्यूटेशन के साथ एक हमले को अंजाम देना संभव बना दिया: एक कुंजी को हैक करना अपेक्षाकृत महंगा (प्रकाशन के समय $ 100 और 12 घंटे) बना रहा, लेकिन कनेक्शन पर हमला करने की व्यावहारिक लागत में काफी कमी आई। यह एक बार सर्वर कुंजी को लेने और अब से सभी बाद के कनेक्शन के लिए सिफर को दरार करने के लिए पर्याप्त है।

और आगे बढ़ने से पहले, हमें एक उन्नत हमले का उल्लेख करना होगा ...

ओरेकल हमला

Moxie Marlinspike को क्रॉस-प्लेटफ़ॉर्म सिग्नल क्रिप्टो मैसेंजर के पिता के रूप में जाना जाता है; — (Cryptographic Doom Principle). , : « - , ». : « , , ».

, ; . « » - , , .

उदाहरण के लिए, एक कमजोर प्रतिस्थापन प्रतिस्थापन सिफर के साथ एक काल्पनिक डिजाइन लें, और फिर एक संभावित हमले का प्रदर्शन करें। हालांकि हमने पहले से ही आवृत्ति विश्लेषण का उपयोग करते हुए एक प्रतिस्थापन सिफर पर हमला देखा है, यह केवल "समान सिफर को तोड़ने का दूसरा तरीका" नहीं है। इसके विपरीत, ओरेकल हमले बहुत अधिक आधुनिक आविष्कार हैं, कई स्थितियों पर लागू होते हैं जहां आवृत्ति विश्लेषण विफल हो जाता है, और हम अगले अनुभाग में इसका एक प्रदर्शन देखेंगे। यहां, उदाहरण को अधिक स्पष्ट करने के लिए केवल एक साधारण सिफर चुना जाता है।

, , , . : 20 . , - , - , 20 . , : a , bb , ccc , dddd . . , .

जब एलिस या बॉब संदेश प्राप्त करते हैं, तो वे पहले जाँचते हैं कि संदेश सही लंबाई (20 अक्षर) है, और प्रत्यय सही डमी टेक्स्ट है। यदि यह मामला नहीं है, तो वे संबंधित त्रुटि संदेश के साथ प्रतिक्रिया करते हैं। यदि पाठ की लंबाई और काल्पनिक पाठ क्रम में हैं, तो प्राप्तकर्ता स्वयं संदेश पढ़ता है और एक एन्क्रिप्टेड प्रतिक्रिया भेजता है।

हमले के दौरान, हमलावर बॉब होने का नाटक करता है और ऐलिस को नकली संदेश भेजता है। संदेश - पूर्ण बकवास - हमलावर के पास एक कुंजी नहीं है, और इसलिए वह एक सार्थक संदेश को नकली नहीं कर सकता है। लेकिन चूंकि प्रोटोकॉल कयामत के सिद्धांत का उल्लंघन करता है, इसलिए एक हमलावर अभी भी ऐलिस को फंसा सकता है, ताकि वह कुंजी के बारे में जानकारी प्रकट करे, जैसा कि नीचे दिखाया गया है।

: PREWF ZHJKL MMMN. LA

: .

: PREWF ZHJKL MMMN. LB

: .

: PREWF ZHJKL MMMN. LC

: ILCT? TLCT RUWO PUT KCAW CPS OWPOW!

, , , C a , .

: REWF ZHJKL MMMN. LAA

: .

: REWF ZHJKL MMMN. LBB

: .

…

: REWF ZHJKL MMMN. LGG

: .

: REWF ZHJKL MMMN. LHH

: TLQO JWCRO FQAW SUY LCR C OWQXYJW. IW PWWR TU TCFA CHUYT TLQO JWFCTQUPOLQZ.

फिर से, क्रैकर को पता नहीं है कि एलिस ने क्या कहा, लेकिन ध्यान दें कि एच को बी के साथ मेल खाना चाहिए क्योंकि एलिस ने डमी टेक्स्ट को स्वीकार कर लिया।

और इसी तरह, जब तक कि हमलावर प्रत्येक वर्ण का अर्थ पता नहीं लगा लेता है।

पहली नज़र में, विधि चयनित प्लेनटेक्स्ट के आधार पर एक हमले के समान है। अंत में, हमलावर सिफरटेक्स उठाता है, और सर्वर आज्ञाकारी रूप से उन्हें संसाधित करता है। वास्तविक दुनिया में इन हमलों को व्यवहार्य बनाने वाला मुख्य अंतर यह है कि हमलावर को वास्तविक डिक्रिप्शन तक पहुंच की आवश्यकता नहीं है - बस सर्वर की प्रतिक्रिया, यहां तक ​​कि "गलत काल्पनिक पाठ" के रूप में हानिरहित भी पर्याप्त है।

यद्यपि यह विशेष हमला शिक्षाप्रद है, किसी को "काल्पनिक पाठ" योजना की बारीकियों पर ध्यान केंद्रित नहीं करना चाहिए, विशेष रूप से प्रयुक्त क्रिप्टोसिस्टम, या हमलावर द्वारा भेजे गए संदेशों का सटीक क्रम। मुख्य विचार यह है कि ऐलिस कैसे सादे के गुणों के आधार पर अलग-अलग प्रतिक्रिया करता है, और यह सत्यापित किए बिना करता है कि संबंधित एन्क्रिप्टेड पाठ वास्तव में एक विश्वसनीय पार्टी से प्राप्त होता है। इस प्रकार, ऐलिस एक हमलावर को उसकी प्रतिक्रियाओं से गुप्त जानकारी निकालने की अनुमति देती है।

इस परिदृश्य में बहुत कुछ बदलना है। ऐलिस के चरित्र, या उसके व्यवहार में बहुत अंतर, या यहां तक ​​कि इस्तेमाल किए गए क्रिप्टोकरेंसी। लेकिन सिद्धांत एक ही रहेगा, और एक पूरे के रूप में हमला एक या दूसरे रूप में व्यवहार्य रहेगा। इस हमले के मूल कार्यान्वयन ने कई सुरक्षा त्रुटियों का पता लगाने में मदद की, जिन्हें हम शीघ्र ही संबोधित करेंगे; लेकिन पहले कुछ सैद्धांतिक सबक सीखना चाहिए। एक वास्तविक आधुनिक सिफर पर काम करने में सक्षम एक हमले में इस काल्पनिक "ऐलिस स्क्रिप्ट" का उपयोग कैसे करें? क्या यह संभव है, सिद्धांत रूप में भी?

1998 में, स्विस क्रिप्टोग्राफर डैनियल ब्लेचेंबचेर ने इस प्रश्न का उत्तर दिया। उन्होंने एक विशिष्ट संदेश योजना का उपयोग करते हुए व्यापक रूप से इस्तेमाल किए जाने वाले आरएसए सार्वजनिक कुंजी क्रिप्टोकरेंसी में एक दैवीय हमले का प्रदर्शन किया। कुछ आरएसए कार्यान्वयन में, सर्वर अलग-अलग त्रुटि संदेशों के साथ प्रतिक्रिया करता है, इस पर निर्भर करता है कि प्लेनटेक्स्ट योजना से मेल खाता है या नहीं; यह एक हमला शुरू करने के लिए पर्याप्त था।

चार साल बाद, 2002 में, फ्रांसीसी क्रिप्टोग्राफर सर्ज वाउडेने ने एक अलंकृत हमले का प्रदर्शन किया, जो लगभग ऐलिस की लिपि में वर्णित है - इसके अलावा एक काल्पनिक सिफर के बजाय, उन्होंने आधुनिक स्निफरों के एक पूरे सम्मानजनक वर्ग को क्रैक किया, जो लोग वास्तव में थे का उपयोग करें। विशेष रूप से, वोडेन का हमला निश्चित इनपुट आकार ("ब्लॉक सिफर्स") के साथ सिफर को लक्षित करता है, जब उन्हें तथाकथित "सीबीसी एन्क्रिप्शन मोड" में उपयोग किया जाता है और एक निश्चित लोकप्रिय पैडिंग योजना के साथ, मूल रूप से ऐलिस स्क्रिप्ट में एक के बराबर है।

इसके अलावा 2002 में, अमेरिकन क्रिप्टोग्राफर जॉन केल्सी, ट्वोफिश के सह-लेखक- संदेशों को संपीड़ित करने और फिर उन्हें एन्क्रिप्ट करने वाले सिस्टम पर विभिन्न ओरेकल हमलों का प्रस्ताव दिया। उनमें से सबसे अधिक ध्यान देने योग्य हमला था, जिसमें इस तथ्य का उपयोग किया गया था कि सिंटेक्टेक्स की लंबाई से प्लेनटेक्स्ट की मूल लंबाई को प्राप्त करना अक्सर संभव है। सिद्धांत रूप में, यह एक ओरेकल हमले की अनुमति देता है जो मूल प्लेनटेक्स्ट के कुछ हिस्सों को पुनर्स्थापित करता है।

अगला, हम वोडेन और केल्सी हमलों का अधिक विस्तृत विवरण प्रदान करते हैं (जब हम सार्वजनिक-कुंजी क्रिप्टोग्राफी पर हमलों पर आगे बढ़ते हैं तो हम ब्लेचेनबचेर हमले का अधिक विस्तृत विवरण देंगे)। हमारे सभी प्रयासों के बावजूद, पाठ कुछ तकनीकी हो जाता है; इसलिए, यदि उपरोक्त आपके लिए पर्याप्त है, तो अगले दो खंड छोड़ें।

वोडेन का हमला

वोडेन हमले को समझने के लिए, आपको पहले ब्लॉक सिफर और एन्क्रिप्शन मोड के बारे में थोड़ा और बात करने की आवश्यकता है। एक "ब्लॉक सिफर", जैसा कि पहले ही उल्लेख किया गया है, एक सिफर जो एक कुंजी को स्वीकार करता है और एक निश्चित निश्चित लंबाई ("ब्लॉक लंबाई") को इनपुट करता है और उसी लंबाई के एन्क्रिप्टेड ब्लॉक का उत्पादन करता है। ब्लॉक सिफर व्यापक रूप से उपयोग किए जाते हैं और अपेक्षाकृत सुरक्षित माने जाते हैं। पहले सेवानिवृत्त डेस, जिसे पहले आधुनिक सिफर माना जाता था, अवरुद्ध था। जैसा कि ऊपर उल्लेख किया गया है, वही एईएस के लिए सच है, व्यापक रूप से आज भी उपयोग किया जाता है।

दुर्भाग्य से, ब्लॉक सिफर में एक चमकदार कमजोरी है। एक विशिष्ट ब्लॉक का आकार 128 बिट्स या 16 अक्षर है। जाहिर है, आधुनिक क्रिप्टोग्राफी को बड़े इनपुट डेटा के साथ काम करने की आवश्यकता होती है, और यही वह जगह है जहां एन्क्रिप्शन मोड दिखाई देते हैं। एन्क्रिप्शन मोड अनिवार्य रूप से एक हैक है: यह किसी तरह एक ब्लॉक सिफर को लागू करने का एक तरीका है, जो केवल एक निश्चित आकार के इनपुट डेटा को स्वीकार करता है, एक मनमाना लंबाई के इनपुट डेटा को।

वोडेन हमला ऑपरेशन के लोकप्रिय सीबीसी मोड (सिफर ब्लॉक चेनिंग, सिफरटेक्स्ट ब्लॉक कपलिंग मोड) पर केंद्रित है। हमला बेस ब्लॉक सिफर को जादुई अभेद्य ब्लैक बॉक्स के रूप में देखता है और पूरी तरह से इसकी सुरक्षा को दरकिनार कर देता है।

यहाँ एक आरेख है जो दिखाता है कि CBC मोड कैसे काम करता है:





परिचालित प्लस XOR ऑपरेशन (अनन्य OR) को दर्शाता है। उदाहरण के लिए, दूसरा सिफरटेक्स्ट ब्लॉक प्राप्त किया जाता है:

1. प्लेनटेक्स्ट के दूसरे ब्लॉक पर सिफरटेक्स्ट के पहले ब्लॉक के साथ एक XOR ऑपरेशन करना।
   
2. एक कुंजी का उपयोग करके ब्लॉक सिफर का उपयोग करके प्राप्त ब्लॉक को एन्क्रिप्ट करें।

चूंकि सीबीसी बाइनरी एक्सओआर ऑपरेशन का गहनता से उपयोग करता है, आइए इसके कुछ गुणों को याद करने के लिए एक क्षण लें:

• idempotency: $$$A \oplus 0 = A$
  
• विनिमेय: $$$A \oplus B = B \oplus A$
  
• संबद्धता: $$$A \oplus (B \oplus C) = (A \oplus B) \oplus C$
  
• आत्म पीछे: $$$A \oplus A = 0$
  
• बाइट-बाइट: बाइट एन $$( ए ⊕ बी ) = (बाइट एन$(A \oplus B)$$$$ए$ ) $$⊕ (एन की बाइट्स$\oplus$$$$ब$ )

आमतौर पर, इन गुणों का अर्थ है कि अगर हमारे पास एक समीकरण है जिसमें XOR संचालन और एक अज्ञात शामिल है, तो इसे हल किया जा सकता है। उदाहरण के लिए, यदि हम जानते हैं कि$$एक ⊕ एक्स = बी अज्ञात के साथ$A \oplus X = B$$$एक्स और प्रसिद्ध$X$$$$ए$ और $$बी , तब हम इसके लिए समीकरण को हल करने के लिए उपरोक्त गुणों पर भरोसा कर सकते हैं$ब$$$$X$ । समीकरण के दोनों किनारों पर XOR को लागू करना $$ए हमें मिलता है$ए$$$$X = A \oplus B$ ।एक पल में, यह सब बहुत प्रासंगिक हो जाएगा।

हमारे ऐलिस स्क्रिप्ट और वोडेन हमले के बीच दो छोटे अंतर और एक बड़ा अंतर है। दो नाबालिग:

• परिदृश्य में ऐलिस उम्मीद करते हैं कि पाठ में खुले अंत a, bb, cccऔर इतने पर। वोडेन हमले में, पीड़ित को बाइट एन (यानी, हेक्साडेसिमल 01 या 02 02, या 03 03 03, और इसी तरह) के साथ एन को समाप्त करने के लिए प्लेटेक्स्ट की अपेक्षा होती है। यह विशुद्ध रूप से कॉस्मेटिक अंतर है।
  
• एलिस की स्क्रिप्ट में, यह कहना आसान था कि क्या एलिस को "गलत काल्पनिक पाठ" के जवाब में संदेश मिला था। वोडेन हमले में, अधिक विश्लेषण की आवश्यकता है और पीड़ित पक्ष पर सटीक कार्यान्वयन महत्वपूर्ण है; लेकिन संक्षिप्तता के लिए हम यह मानते हैं कि यह विश्लेषण अभी भी संभव है।

मुख्य अंतर:

• , ( ), , . .

यह मुख्य अंतर है - वोडेन हमले को समझने के लिए पहेली का अंतिम टुकड़ा, तो आइए एक पल के लिए सोचें कि आप सीबीसी पर एक दैवीय हमले का आयोजन क्यों और कैसे कर सकते हैं।

मान लीजिए कि 247 ब्लॉकों का CBC सिफरटेक्स्ट दिया गया है, और हम इसे डिक्रिप्ट करना चाहते हैं। हम सर्वर को नकली संदेश भेज सकते हैं, इससे पहले कि हम ऐलिस को नकली संदेश भेज सकें। सर्वर हमारे लिए संदेशों को डिक्रिप्ट करेगा, लेकिन यह डिक्रिप्शन नहीं दिखाएगा - इसके बजाय, फिर से, जैसा कि ऐलिस के मामले में है, सर्वर केवल एक ही जानकारी की सूचना देगा: प्लेनटेक्स्ट में, मान्य फिलिंग है या नहीं।

ध्यान दें कि ऐलिस के परिदृश्य में, हमारे निम्नलिखित रिश्ते थे:

$$

$$\text{SIMPLE_SUBSTITUTION}(\text{ciphertext},\text{key}) = \text{plaintext}$$

हम इसे ऐलिस समीकरण कहते हैं। हमने सिफरटेक्स्ट को नियंत्रित किया; सर्वर (ऐलिस) प्राप्त प्लेटेक्स्ट के बारे में अस्पष्ट जानकारी को मर्ज करता है; और इससे हमें अंतिम कारक - कुंजी के बारे में जानकारी प्रदर्शित करने की अनुमति मिली। सादृश्य द्वारा, यदि हम CBC स्क्रिप्ट के लिए ऐसा कनेक्शन पा सकते हैं, तो हम वहां कुछ गुप्त जानकारी भी निकाल सकते हैं।

सौभाग्य से, वास्तव में ऐसे रिश्ते हैं जिनका हम उपयोग कर सकते हैं। ब्लॉक सिफर डिक्रिप्शन फाइनल कॉल के आउटपुट पर विचार करें और इस डेटा को निर्दिष्ट करें$$$W$ । प्लेनटेक्स्ट ब्लॉक को भी निरूपित करें $$पी 1 , पी 2 , । । । और सिफरटेक्स्ट ब्लॉक$P_1, P_2,...$$$$C_1,C_2,...$ । CBC चार्ट पर एक और नज़र डालें और ध्यान दें कि यह निकला है:

$$

$$C_{246} \oplus W = P_{247}$$

हम इसे "सीबीसी समीकरण" कहते हैं।

ऐलिस के परिदृश्य में, सिफरटेक्स्ट को नियंत्रित करना और संबंधित प्लेनटेक्स्ट के बारे में जानकारी के रिसाव को देखते हुए, हम एक ऐसे हमले का आयोजन करने में सक्षम थे जिसने समीकरण के तीसरे कार्यकाल को बहाल किया - कुंजी। सीबीसी परिदृश्य में, हम सिफरटेक्स्ट को भी नियंत्रित करते हैं और संबंधित प्लेनटेक्स्ट में सूचना रिसाव को देखते हैं। यदि एक सादृश्य धारण करता है, तो हम इसके बारे में जानकारी प्राप्त कर सकते हैं$$$W$ ।

मान लीजिए हमने वास्तव में बहाल किया $$डब्ल्यू , फिर क्या? ठीक है, तो हम तुरंत प्लेटेक्स्ट के पूरे पिछले ब्लॉक को प्रिंट कर सकते हैं ($W$$$पी 247 ) बस टाइप करके$P_{247}$$$सी 246 (जो हमारे पास है) औरप्राप्त की$C_{246}$
$$सीबीसी समीकरण में डब्ल्यू । इसलिए, हम हमले की सामान्य योजना के बारे में आशावादी हैं, और विवरणों को पूरा करने का समय आ गया है। हम बिल्कुल ध्यान देते हैं कि सर्वर कैसे सादा जानकारी लीक करता है। ऐलिस की स्क्रिप्ट में, एक रिसाव हुआ क्योंकि ऐलिस ने केवल सही संदेश का उत्तर दिया था$W$

$$SIMPLE_SUBSTITUTION(सिफरटेक्स्ट,कुंजी)$\text{SIMPLE_SUBSTITUTION}(\text{ciphertext},\text{key})$एक पंक्ति के साथ समाप्त हुआ a(या bbतो और इतने पर, लेकिन इन स्थितियों के अकस्मात होने की संभावना बहुत कम थी)। इसी तरह सीबीसी के साथ, सर्वर पैडिंग स्वीकार करता है यदि और केवल यदि$$सी 246 ⊕ डब्ल्यू समाप्त होता है हेक्साडेसिमल। तो, चलो एक ही चाल की कोशिश करते हैं: अपने स्वयं के नकली मूल्यों के साथ नकली सिफरटेक्स भेज रहे हैं$C_{246} \oplus W$01$$C 246 जब तक सर्वर भरण स्वीकार नहीं करता। जब सर्वर हमारे नकली संदेशों में से एक के लिए पैडिंग स्वीकार करता है, तो इसका मतलब है कि:$C_{246}$

$$

$$C_{246} \oplus W = \text{ hex 01 }$$

अब XOR बाइट प्रॉपर्टी का उपयोग करें:

$$

$$(\text{ } C_{246}) \oplus (\text{ }W) = \text{hex 01}$$

हम पहले और तीसरे सदस्य को जानते हैं। और हमने पहले ही देखा है कि यह आपको शेष सदस्य को पुनर्स्थापित करने की अनुमति देता है - अंतिम बाइट$$$W$ :

$$

$$(\text{ } W) = (\text{ } C_{246}) \oplus (\text{hex 01})$$

यह हमें CBC समीकरण और बाइट प्रॉपर्टी के माध्यम से प्लेनटेक्स्ट के अंतिम ब्लॉक की अंतिम बाइट भी देता है।

हम इसे समाप्त कर सकते हैं और संतुष्ट हो सकते हैं कि हमने सैद्धांतिक रूप से मजबूत सिफर पर हमला किया। लेकिन वास्तव में, हम बहुत कुछ कर सकते हैं: हम वास्तव में पूरे पाठ को पुनर्स्थापित कर सकते हैं। इसके लिए एक निश्चित ट्रिक की आवश्यकता होती है, जो कि ऐलिस की मूल लिपि में नहीं थी और यह एक ऑरेकल हमले के लिए किसी और चीज में शामिल नहीं है, लेकिन विधि अभी भी खोज के लायक है।

इसे समझने के लिए, पहले ध्यान दें कि अंतिम बाइट का सही मान प्राप्त करने के परिणामस्वरूप$$डब्ल्यू हमारे पास एक नई क्षमता है। अब, जब सिफरटेक्स्ट को फेकते हैं, तो हम संबंधित प्लेनटेक्स्ट के अंतिम बाइट को नियंत्रित कर सकते हैं। फिर, यह CBC समीकरण और बाइट प्रॉपर्टी के कारण है:$W$

$$

$$(\text{ } C_{246}) \oplus (\text{ } W) = \text{ } P_{247}$$

चूँकि अब हम दूसरे शब्द को जानते हैं, हम पहले के अपने नियंत्रण को तीसरे को नियंत्रित करने के लिए उपयोग कर सकते हैं। हम सिर्फ गणना करते हैं:

$$

$$(\text{ } C_{246}) = (\text{ } P_{247}) \oplus (\text{ } W)$$

हम ऐसा पहले नहीं कर सकते थे, क्योंकि हमारे पास अभी अंतिम बाइट नहीं है $$$W$ ।

इससे हमें कैसे मदद मिलेगी? मान लीजिए कि अब हम सभी सिफरटेक्स्ट बनाएंगे ताकि संबंधित प्लेनटेक्स में अंतिम बाइट बराबर हो 02। अब सर्वर केवल पैडिंग स्वीकार करता है यदि प्लेनटेक्स्ट समाप्त होता है 02 02। चूँकि हमने अंतिम बाइट को ठीक किया, यह तभी होगा जब प्लेनटेक्स्ट की पेनल्टी बाइट भी 02 हो। हम फर्जी सिफरटेक्स्ट ब्लॉक भेजना जारी रखते हैं, जब तक कि सर्वर में से एक के लिए पेडिंग स्वीकार नहीं करता, तब तक पेनॉल्ट बाइट को बदल देता है। इस समय हमें मिलता है:

$$

$$(\text{ } C_{246}) \oplus (\text{ } W) = \text{hex 02}$$

और हम penultimate बाइट को पुनर्स्थापित करते हैं $$डब्ल्यू पिछले के रूप में ही बहाल। हम एक ही नस में जारी रखते हैं: हम प्लेनटेक्स्ट के अंतिम दो बाइट्स को ठीक करते हैं, इस हमले को बाइट के अंत से तीसरे बाइट के लिए दोहराते हैं, और इसी तरह, अंततः पूरी तरह से बहाल करना$W$03 03$$$W$ ।

बाकी टेक्स्ट के बारे में क्या? कृपया ध्यान दें कि मूल्य$$डब्ल्यू वास्तव में है$W$$$BLOCK_DECRYPT(कुंजी,C247 )$\text{BLOCK_DECRYPT}(\text{key},C_{247})$ । हम इसकी जगह कोई और ब्लॉक लगा सकते हैं $$सी 247 , और हमला अभी भी सफल होगा। वास्तव में, हम सर्वर से करने के लिए कह सकते हैं$C_{247}$$$BLOCK_DECRYPT$\text{BLOCK_DECRYPT}$किसी भी डेटा के लिए। इस बिंदु पर, खेल खत्म हो गया है - हम किसी भी सिफरटेक्स्ट को डिक्रिप्ट कर सकते हैं (एक बार फिर इसे देखने के लिए सीबीसी डिक्रिप्शन आरेख पर नज़र डालें, और ध्यान दें कि वेक्टर IV सार्वजनिक रूप से उपलब्ध है)।

यह विशेष विधि ओरेकल के हमले में एक महत्वपूर्ण भूमिका निभाता है, जिसे हम बाद में सामना करेंगे।

हल्ला केल्सी

एक करीबी जॉन केल्सी ने उन सिद्धांतों को सामने रखा, जो कई संभावित हमलों से गुजरते हैं, न कि किसी विशेष सिफर पर एक विशिष्ट हमले का विवरण। उनका 2002 का लेख एन्क्रिप्टेड संपीड़ित डेटा पर संभावित हमलों का एक अध्ययन है। आपने सोचा था कि हमला करने के लिए, अकेले जानकारी पर्याप्त नहीं थी, कि एन्क्रिप्शन से पहले डेटा संकुचित था? यह पर्याप्त है।

यह आश्चर्यजनक परिणाम दो सिद्धांतों के कारण है। सबसे पहले, प्लेनटेक्स्ट की लंबाई और सिफरटेक्स्ट की लंबाई के बीच एक मजबूत सहसंबंध है; कई सिफर के लिए, सटीक समानता। दूसरे, जब संपीड़न किया जाता है, तो संपीड़ित संदेश की लंबाई और प्लेनटेक्स्ट के "शोर" की डिग्री के बीच एक मजबूत सहसंबंध भी होता है, अर्थात, गैर-दोहराए जाने वाले वर्णों का अंश (तकनीकी शब्द "बड़े एंट्रोप") है।

सिद्धांत को कार्रवाई में देखने के लिए, दो समतल स्थानों पर विचार करें:

पाठ 1 साफ़ करें: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

पाठ 2 साफ़ करें: ATVXCAGTRSVPTVVULSJQHGEYCMQPCRQBGCYIXCFJGJ

मान लें कि दोनों प्लेनटेक्स संपीड़ित हैं और फिर एन्क्रिप्ट किए गए हैं। आपको दो परिणामी सिफरटेक्स्ट मिलते हैं और आपको अनुमान लगाना होता है कि कौन सा सिफरटेक्स्ट मेल करता है जो प्लेनटेक्स्ट:

सिफरटेक्स्ट 1: PVOVEYBPJDPVANEAWVGCIUWAABCIYIKOOURMYDTA

सिफरटेक्स्ट 2: DWKJZXYU

उत्तर स्पष्ट है। प्लेनटेक्स के बीच, केवल प्लेनटेक्स्ट 1 को दूसरे सिफरटेक्स्ट की अल्प लंबाई तक संपीड़ित किया जा सकता है। हम संपीड़न एल्गोरिथ्म, एन्क्रिप्शन कुंजी, या यहां तक ​​कि सिफर के बारे में कुछ भी जानने के बिना पता चला। संभावित क्रिप्टोग्राफिक हमलों के पदानुक्रम की तुलना में, यह एक प्रकार का पागलपन है।

केल्सी आगे इंगित करता है कि कुछ असामान्य परिस्थितियों में इस सिद्धांत का उपयोग एक दैवीय हमले का संचालन करने के लिए भी किया जा सकता है। विशेष रूप से, वह वर्णन करता है कि कैसे एक हमलावर गुप्त प्लेनेटेक्स को पुनर्प्राप्त कर सकता है यदि वह सर्वर को फॉर्म डेटा (प्लेनटेक्स्ट) को एन्क्रिप्ट करने के लिए मजबूर कर सकता है, उसके बाद$$एक्स जब वह नियंत्रित करता है$X$$$X और किसी तरह एन्क्रिप्टेड परिणाम की लंबाई की जांच कर सकता है)। फिर से, अन्य ओरेकल हमलों की तरह, हमारे पास अनुपात है:$X$

$$

$$\text{}(\text{}(\text{ , } X)) = \text{}$$

फिर, हम एक सदस्य को नियंत्रित करते हैं ( $$एक्स ), हम एक अन्य सदस्य (सिफरटेक्स्ट) के बारे में जानकारी का एक छोटा सा रिसाव देखते हैं और बाद वाले (सादे) को बहाल करने का प्रयास करते हैं। सादृश्य के बावजूद, हमने जो अन्य ओरेकल हमलों की तुलना में यह कुछ असामान्य स्थिति है।यह बताने के लिए कि इस तरह का हमला कैसे काम कर सकता है, हम काल्पनिक संपीड़न योजना का उपयोग करते हैं जो हम अभी-अभी आए थे: TOYZIP। यह उन पाठों की पंक्तियों की खोज करता है जो पहले ही पाठ में दिखाई दे चुके हैं, और उन्हें तीन प्लेसहोल्डर बाइट्स के साथ बदल देता है जो इंगित करता है कि लाइन का एक पूर्व उदाहरण कहां है और कितनी बार यह प्रकट होता है। उदाहरण के लिए, एक स्ट्रिंगको मूल 15 बाइट्स की तुलना में 13 बाइट्स की लंबाई केसाथ संकुचित किया जा सकता है।मान लीजिए कि एक हमलावर एक फॉर्म के प्लेटेक्स्ट को रिकवर करने की कोशिश करता है$X$

helloworldhellohelloworld[00][00][05]

password=...जहां पासवर्ड ही अज्ञात है। केल्सी के हमले के मॉडल के अनुसार, एक हमलावर सर्वर को संपीड़ित करने के लिए कह सकता है और उसके बाद प्रपत्र संदेश (प्लेनटेक्स्ट) को एन्क्रिप्ट कर सकता है$$एक्स ) जहां$X$$$एक्स फ्री टेक्स्ट है। जब सर्वर समाप्त हो जाता है, तो यह परिणाम की लंबाई की रिपोर्ट करता है। हमला इस प्रकार है:$X$

क्रैकर: कृपया बिना किसी फिलिंग के प्लेनटेक्स्ट को कंप्रेस और एनक्रिप्ट करें।

सर्वर: परिणाम की लंबाई 14.

क्रैकर: कृपया अपने द्वारा जोड़े गए प्लेनटेक्स्ट को संपीड़ित और एन्क्रिप्ट करें password=a।

सर्वर: परिणाम की लंबाई 18।

पटाखा नोट: [मूल 14] + [तीन बाइट्स जो प्रतिस्थापित password=] +a

क्रैकर: कृपया अपने द्वारा जोड़े गए प्लेनटेक्स्ट को कंप्रेस और एनक्रिप्ट करें password=b।

सर्वर: परिणाम की लंबाई 18.

क्रैकर: कृपया अपने द्वारा जोड़े गए प्लेनटेक्स्ट को संपीड़ित और एन्क्रिप्ट करें password=।

सर्वर: परिणाम की लंबाई 17।

पटाखा नोट: [मूल 14] + [तीन बाइट्स जो बदल गए password=c]। यह मानता है कि मूल प्लेटेक्स्ट में एक स्ट्रिंग है password=c। यही है, पासवर्ड एक पत्र के साथ शुरू होता हैc

क्रैकर: कृपया अपने द्वारा जोड़े गए प्लेनटेक्स्ट को कंप्रेस और एनक्रिप्ट करें password=a।

सर्वर: परिणाम की लंबाई 18।

पटाखा नोट: [मूल 14] + [तीन बाइट्स जो प्रतिस्थापित password=] +a

क्रैकर: कृपया अपने द्वारा जोड़े गए प्लेनटेक्स्ट को कंप्रेस और एनक्रिप्ट करें password=b।

सर्वर: परिणाम की लंबाई 18।

(... कुछ समय बाद ...)

क्रैकर: कृपया अपने द्वारा जोड़े गए प्लेनटेक्स्ट को कंप्रेस और एनक्रिप्ट करें password=।

सर्वर: परिणाम की लंबाई 17।

पटाखा नोट: [मूल 14] + [तीन बाइट्स जो बदल गए password=co]। उसी तर्क से, पटाखा यह निष्कर्ष निकालता है कि पासवर्ड अक्षरों से शुरू होता हैco

और इसी तरह जब तक कि पूरा पासवर्ड बहाल नहीं हो जाता।

पाठक को यह सोचने के लिए क्षमा किया जाता है कि यह एक विशुद्ध शैक्षणिक अभ्यास है और वास्तविक दुनिया में इस तरह का हमला परिदृश्य कभी नहीं होगा। काश, जैसा कि हम जल्द ही देखेंगे, क्रिप्टोग्राफी में यह वादा नहीं करना बेहतर है।

ब्रांड की कमजोरियाँ: CRIME, POODLE, DROWN

अंत में, सिद्धांत के विस्तृत अध्ययन के बाद, हम देख सकते हैं कि वास्तविक क्रिप्टोग्राफिक हमलों में इन तरीकों का उपयोग कैसे किया जाता है।

अपराध

यदि हमला ब्राउज़र और पीड़ित के नेटवर्क को लक्षित करता है, तो कुछ सरल होगा, और कुछ अधिक जटिल होगा। उदाहरण के लिए, पीड़ित के आवागमन को देखना आसान है: बस उसके साथ वाईफाई के साथ एक ही कैफे में बैठें। इस कारण से, संभावित पीड़ितों (यानी, सभी को) को आमतौर पर एन्क्रिप्टेड कनेक्शन का उपयोग करने की सलाह दी जाती है। यह अधिक कठिन होगा, लेकिन पीड़ित व्यक्ति की ओर से कुछ तृतीय-पक्ष साइट (उदाहरण के लिए, Google) पर HTTP अनुरोधों को निष्पादित करना अभी भी संभव है। हमलावर को पीड़ित को एक दुर्भावनापूर्ण वेब पेज पर एक स्क्रिप्ट के साथ लालच देना होगा जो अनुरोध करेगा। वेब ब्राउज़र स्वचालित रूप से उपयुक्त सत्र कुकी प्रदान करेगा।

यह बहुत बढ़िया लगता है। यदि बॉब ने लॉग इन किया है evil.com, तो क्या इस साइट की स्क्रिप्ट Google को बॉब के पासवर्ड को ईमेल करने के लिए कह सकती हैattacker@evil.com ? , , . ( Cross-Site Request Forgery , CSRF), 90-. , evil.com , Google ( ) : «, CSRF … … . , ». « » (same-origin policy), A , - B. evil.com google.com , .

हमें इस बात पर जोर देना चाहिए कि यदि बॉब एक ​​एन्क्रिप्टेड कनेक्शन का उपयोग नहीं करता है, तो ये सभी सुरक्षाएं व्यर्थ हैं। एक हमलावर केवल बॉब के ट्रैफ़िक को पढ़ सकता है और Google के सत्र कुकी को पुनर्स्थापित कर सकता है। इस कुकी के साथ, वह बस अपने स्वयं के ब्राउज़र को छोड़ने के बिना एक नया Google टैब खोलेगा, और कष्टप्रद समान-मूल नीतियों का सामना किए बिना बॉब को प्रतिरूपित करेगा। लेकिन, दुर्भाग्य से पटाखा के लिए, यह कम आम होता जा रहा है। एक पूरे के रूप में इंटरनेट ने लंबे समय तक अनएन्क्रिप्टेड कनेक्शन पर युद्ध की घोषणा की है, और बॉब का आउटगोइंग ट्रैफ़िक शायद एन्क्रिप्ट किया गया है, चाहे वह इसे पसंद करता हो या नहीं। इसके अलावा, प्रोटोकॉल कार्यान्वयन की शुरुआत से, एन्क्रिप्शन से पहले ट्रैफ़िक भी संकुचित हो गया था ; यह विलंबता को कम करने के लिए सामान्य अभ्यास था।

यह वह जगह है जहाँ CRIME खेल में आता है ।(संपीड़न अनुपात Infoleak मेड आसान, संपीड़न अनुपात के माध्यम से सरल रिसाव)। सुरक्षा शोधकर्ताओं जूलियानो रिज़ो और थाई डुओंग द्वारा सितंबर 2012 में भेद्यता का पता चला। हमने पहले ही संपूर्ण सैद्धांतिक आधार की जांच की है, जो हमें यह समझने की अनुमति देता है कि उन्होंने क्या किया और कैसे किया। एक हमलावर बॉब के ब्राउज़र को Google को अनुरोध भेजने के लिए मजबूर कर सकता है, और फिर एक संपीड़ित, एन्क्रिप्टेड रूप में स्थानीय नेटवर्क पर प्रतिक्रियाओं के लिए सुन सकता है। इसलिए, हमारे पास:

$$

$$\text{-} = \text{}(\text{}(\text{ }))$$

यहां, पटाखा अनुरोध को नियंत्रित करता है और पैकेट के आकार सहित ट्रैफिक स्निफर तक पहुंच प्रदान करता है। केल्सी का काल्पनिक परिदृश्य सही निकला।

सिद्धांत को समझते हुए, CRIME लेखकों ने एक ऐसा शोषण बनाया जो जीमेल, ट्विटर, ड्रॉपबॉक्स और जीथब सहित कई साइटों की सत्र कुकीज़ को चुरा सकता है। भेद्यता ने सबसे आधुनिक वेब ब्राउज़र को प्रभावित किया, जिसके परिणामस्वरूप पैच जारी किए गए थे जो चुपचाप एसएसएल में संपीड़न फ़ंक्शन को दफन कर दिया ताकि इसका उपयोग बिल्कुल भी न किया जाए। भेद्यता से सुरक्षित केवल वही आदरणीय इंटरनेट एक्सप्लोरर था, जिसने कभी भी एसएसएल संपीड़न का उपयोग नहीं किया था।

POODLE

अक्टूबर 2014 में, Google सुरक्षा टीम ने सुरक्षा समुदाय में हलचल मचा दी। वे एसएसएल प्रोटोकॉल में भेद्यता का फायदा उठाने में सक्षम थे, दस साल से अधिक समय पहले तय किए गए थे।

यह पता चला कि यद्यपि सर्वर अद्भुत नया TLSv1.2 चलाते हैं, इंटरनेट एक्सप्लोरर 6 के साथ पिछड़े संगतता के लिए अप्रचलित SSLv3 के लिए कई बाएं समर्थन। हमने पहले ही डाउनग्रेड हमलों के बारे में बात की थी, इसलिए आप कल्पना कर सकते हैं कि क्या हो रहा है। हैंडशेक प्रोटोकॉल का सुव्यवस्थित तोड़फोड़ - और सर्वर पुराने पुराने SSLv3 पर लौटने के लिए तैयार हैं, अनिवार्य रूप से पिछले 15 वर्षों के सुरक्षा अनुसंधान को रद्द कर रहे हैं।

ऐतिहासिक संदर्भ के लिए, यहां मैथ्यू ग्रीन से संस्करण 2 तक एसएसएल इतिहास का एक संक्षिप्त सारांश दिया गया है :

Transport Layer Security (TLS) — . [..] , , TLS. [..] TLS TLS. Netscape Communications "Secure Sockets Layer" SSL. , SSL , -. , SSL SSL 2 . , [..] 90-, « ». , , . SSLv2 , — , SSLv2 .

इन घटनाओं के बाद, 1996 में, निराश नेटस्केप कंपनी ने एसएसएल को खरोंच से बदल दिया। परिणाम SSL संस्करण 3 था, जिसने अपने पूर्ववर्ती के लिए कई ज्ञात सुरक्षा मुद्दों को तय किया था ।

पटाखे के लिए सौभाग्य से, "कुछ" का अर्थ "सब कुछ" नहीं है। सामान्य तौर पर, SSLv3 ने वोडेन हमले को लॉन्च करने के लिए सभी आवश्यक बिल्डिंग ब्लॉक प्रदान किए। प्रोटोकॉल ने CBC मोड में एक ब्लॉक सिफर और एक असुरक्षित पैडिंग योजना का उपयोग किया (यह टीएलएस में तय किया गया था; इसलिए, एक डाउनग्रेड हमला हुआ)। यदि आपको वोडेन हमले के मूल विवरण में भरा हुआ पैटर्न याद है, तो SSLv3 पैटर्न बहुत समान है।

लेकिन, दुर्भाग्य से पटाखे के लिए, "समान" का अर्थ "समान" नहीं है। SSLv3 पैडिंग योजना "N मनमानी बाइट्स संख्या N के बाद है"। इन स्थितियों में, सिफरटेक्स्ट के एक काल्पनिक ब्लॉक को चुनने और मूल वोडेन योजना के सभी चरणों से गुजरने का प्रयास करें: आप पाएंगे कि हमला अंतिम पाठ को सादे पाठ के संबंधित ब्लॉक से सफलतापूर्वक निकालता है, लेकिन आगे नहीं जाता है। सिफरटेक्स्ट की हर 16 वीं बाइट को नकारना एक उत्कृष्ट चाल है, लेकिन यह जीत नहीं है।

असफलता का सामना करने पर, Google टीम ने चरम विकल्प का सहारा लिया: उन्होंने अधिक शक्तिशाली खतरे वाले मॉडल पर स्विच किया - जो कि CRIME में उपयोग किया गया था। यह मानते हुए कि हमलावर पीड़ित के ब्राउज़र टैब पर लॉन्च की गई स्क्रिप्ट है और सत्र कुकीज़ निकाल सकता है, फिर भी हमला प्रभावशाली रहता है। हालांकि व्यापक खतरा मॉडल कम यथार्थवादी है, हमने पहले से ही पिछले अनुभाग में देखा कि यह विशेष मॉडल संभव है।

इन अधिक शक्तिशाली पटाखा क्षमताओं को देखते हुए, हमला अब जारी रह सकता है। कृपया ध्यान दें कि हमलावर को पता है कि हेडर में एन्क्रिप्टेड सेशन कुकी कहाँ प्रदर्शित की गई है और इससे पहले आने वाले HTTP अनुरोध की लंबाई को नियंत्रित करता है। इसलिए, यह HTTP अनुरोध को हेरफेर करने में सक्षम है ताकि ब्लॉक के अंत के अनुसार कुकी के अंतिम बाइट को संरेखित किया जा सके। अब यह बाइट डिक्रिप्शन के लिए उपयुक्त है। आप अनुरोध में केवल एक वर्ण जोड़ सकते हैं, और कुकीज़ की पारलौकिक बाइट एक ही स्थान पर रहेगी और एक ही विधि द्वारा चयन के लिए उपयुक्त होगी। इस तरह से हमला जारी है जब तक कि कुकी पूरी तरह से बहाल नहीं हो जाती। इसे POODLE: पेडिंग ओरेकल ऑन डाउनग्रेडेड लिगेसी एन्क्रिप्शन कहा जाता है, जो ओरेकल को कम अप्रचलित एन्क्रिप्शन के साथ पॉप्युलेट करता है।

डूबना

जैसा कि हमने पहले ही उल्लेख किया है, एसएसएलवी 3 में खामियां थीं, लेकिन यह अपने पूर्ववर्ती से मौलिक रूप से अलग था, क्योंकि लीक एसएसवाई 2 एक अलग युग का एक उत्पाद था। वहां संदेश को बीच में रोकना संभव था: बदल गया ; क्लाइंट और सर्वर इंटरनेट पर मिल सकते हैं, हमलावर की आंखों के सामने विश्वास और विनिमय रहस्य स्थापित कर सकते हैं, जिन्होंने तब आसानी से दोनों होने का नाटक किया। निर्यात क्रिप्टोग्राफी के साथ एक समस्या भी है, जिसका हमने फ्रैक पर विचार करते समय उल्लेख किया था। ये क्रिप्टोग्राफिक सदोम और गोमोराह थे।

मार्च 2016 में, विभिन्न तकनीकी क्षेत्रों के शोधकर्ताओं की एक टीम ने एक साथ आकर एक चौंकाने वाली खोज की: SSLv2 अभी भी सुरक्षा प्रणालियों में उपयोग किया जाता है। हां, हमलावर अब SSLL2 के लिए आधुनिक TLS सत्रों को डाउनग्रेड नहीं कर सकते, क्योंकि यह छेद FREAK और POODLE के बाद बंद हो गया था, लेकिन वे अभी भी सर्वर से कनेक्ट हो सकते हैं और अपने दम पर SSLv2 सत्र आरंभ कर सकते हैं।

आप पूछते हैं, हमें क्या परवाह है कि वे वहां क्या करते हैं? उनके पास एक कमजोर सत्र है, लेकिन इससे अन्य सत्र या सर्वर सुरक्षा प्रभावित नहीं होनी चाहिए - सही? खैर, वास्तव में नहीं। हाँ, यह है कि यह सिद्धांत में कैसे होना चाहिए। लेकिन नहीं - क्योंकि एसएसएल प्रमाणपत्र की पीढ़ी एक निश्चित बोझ लगाती है, जिसके परिणामस्वरूप कई सर्वर एक ही प्रमाण पत्र का उपयोग करते हैं और परिणामस्वरूप, TLS और SSLv2 कनेक्शन के लिए समान RSA कुंजी। इससे भी बदतर, इस लोकप्रिय एसएसएल कार्यान्वयन में ओपनएसएसएल बग के कारण, "एसएसएल 2 को अक्षम करें" विकल्प वास्तव में काम नहीं करता था।

इसने TLS पर एक क्रॉस-प्रोटोकॉल हमले को संभव बनाया, जिसे DROWN कहा जाता है(पुरानी और कमजोर एन्क्रिप्शन का उपयोग करके आरएसए को अप्रचलित और कमजोर ई-एन्क्रिप्शन के साथ डिक्रिप्ट करना, आरएसए को डिक्रिप्ट करना)। याद रखें कि यह गिरावट के हमले के समान नहीं है; एक हमलावर को "बीच में व्यक्ति" के रूप में कार्य करने की आवश्यकता नहीं है और असुरक्षित सत्र में भाग लेने के लिए क्लाइंट को संलग्न करने की आवश्यकता नहीं है। हमलावर केवल सर्वर के साथ एक असुरक्षित एसएसएलवी 2 सत्र शुरू करते हैं, एक कमजोर प्रोटोकॉल पर हमला करते हैं और आरएसए निजी सर्वर कुंजी को पुनर्स्थापित करते हैं। यह कुंजी टीएलएस कनेक्शन के लिए भी मान्य है, और अब से कोई भी टीएलएस सुरक्षा इसे हैक होने से नहीं बचाएगी।

लेकिन हैकिंग के लिए SSLv2 के खिलाफ काम करने वाले हमले की आवश्यकता होती है, जो आपको न केवल विशिष्ट ट्रैफ़िक, बल्कि RSA गुप्त सर्वर कुंजी को पुनर्स्थापित करने की अनुमति देता है। हालांकि यह एक जटिल उत्पादन है, शोधकर्ता किसी भी भेद्यता को चुन सकते हैं जो एसएसएलवी 2 के बाद पूरी तरह से बंद हो गया था। अंत में, उन्हें एक उपयुक्त विकल्प मिला: ब्लेचेंबचेर हमला, जिसका हमने पहले उल्लेख किया था और जिसे अगले लेख में विस्तार से बताया जाएगा। एसएसएल और टीएलएस इस हमले से सुरक्षित हैं, लेकिन कुछ यादृच्छिक एसएसएल फ़ंक्शन, निर्यात-ग्रेड क्रिप्टोग्राफी में छोटी कुंजी के साथ मिलकर, ड्रोन के एक विशिष्ट कार्यान्वयन को संभव बनाते हैं ।

DROWN भेद्यता के प्रकाशन के समय, शीर्ष इंटरनेट साइटों के 25% प्रभावित हुए थे, और शरारती एकल हैकर के लिए भी उपलब्ध मामूली संसाधनों के साथ हमला किया जा सकता था। RSA सर्वर कुंजी को पुनः प्राप्त करने में आठ घंटे की कंप्यूटिंग और 440 डॉलर का समय लगा, और SSLv2 ने अपनी स्थिति को "अप्रचलित" से "रेडियोधर्मी" में बदल दिया।

रुको, हार्दिक के बारे में क्या?

यह इस अर्थ में एक क्रिप्टोग्राफिक हमला नहीं है जैसा कि ऊपर वर्णित है; यह एक बफर अतिप्रवाह है।

एक ब्रेक ले लो

हमने कुछ बुनियादी तरीकों के साथ शुरुआत की: जानवर बल, प्रक्षेप, डाउनग्रेड, क्रॉस-प्रोटोकॉल, और प्रीक्लूलेशन। फिर उन्होंने एक उन्नत तकनीक की जांच की, शायद आधुनिक क्रिप्टोग्राफिक हमलों का मुख्य घटक: यह ओरेकल का हमला है। हमने इसे कुछ समय के लिए निपटाया - और न केवल कोर के सिद्धांत को समझा, बल्कि दो विशिष्ट कार्यान्वयनों के तकनीकी विवरण: CBC एन्क्रिप्शन मोड पर Wodene के हमले और प्रारंभिक संपीड़न के साथ एन्क्रिप्शन प्रोटोकॉल पर केल्सी के हमले।

डाउनग्रेड हमलों की समीक्षा करते हुए और प्रारंभिक गणना के साथ, हमने एफआरएकेए हमले को संक्षेप में बताया, जो दोनों तरीकों का उपयोग करता है, क्योंकि लक्ष्य साइटें कमजोर कुंजी पर गिरती हैं और फिर उसी कुंजी का पुन: उपयोग करती हैं। अगले लेख के लिए, हमने (बहुत समान) लोगजाम हमले को छोड़ा जो सार्वजनिक कुंजी एल्गोरिदम को लक्षित करता है।

फिर हमने इन सिद्धांतों के आवेदन के तीन और उदाहरणों की जांच की। सबसे पहले, CRIME और POODLE: दो हमले जो पटाखे की क्षमता पर भरोसा करते थे, जो लक्ष्य प्लेनटेक्स्ट के बगल में मनमाना प्लेटेक्स्ट इंजेक्षन करते हैं, फिर सर्वर की प्रतिक्रियाओं की जांच करते हैं और फिर , ओरेकल के हमले के तरीके का उपयोग करते हुए, इस माइनर जानकारी का उपयोग करके आंशिक रूप से प्लेनटेक्स्ट को ठीक करने के लिए उपयोग करते हैं। CRIME ने SSL संपीड़न पर केल्सी के हमले का रास्ता अपनाया, जबकि POODLE ने उसी प्रभाव के साथ CBC पर वोडेन के हमले का इस्तेमाल किया।

फिर हमने क्रॉस-प्रोटोकॉल हमले DROWN पर अपना ध्यान दिया, जो पुराने SSLv2 प्रोटोकॉल का उपयोग करके सर्वर से एक कनेक्शन स्थापित करता है, और फिर Bleichenbacher हमले का उपयोग करके गुप्त सर्वर कुंजी को पुनर्स्थापित करता है। इस बिंदु पर, हमने इस हमले के तकनीकी विवरणों को याद किया है; लोगजाम की तरह, उसे तब तक इंतजार करना होगा जब तक हम सार्वजनिक कुंजी क्रिप्टोकरंसी और उनकी कमजोरियों का गहन अध्ययन नहीं करते हैं।

अगले लेख में, हम उन्नत हमलों के बारे में बात करेंगे - जैसे कि मिलन-इन-द-मिडिल मेथड, डिफरेंशियल क्रिप्टोनालिसिस, और "बर्थडे" अटैक। हम तृतीय-पक्ष चैनलों के माध्यम से हमलों पर एक छोटी छापेमारी करेंगे, और फिर हम एक सार्वजनिक कुंजी के साथ सबसे स्वादिष्ट चीज - क्रिप्टोकरंसी लेंगे।