Một người Việt Nam tham gia nghiên cứu và tìm ra cách tấn công vào giao thức HTTPS

[07520004]

Trong hội nghị bảo mật ekoparty lần thứ 7 (ekoparty Security Conference 7° edición) có một bài báo đáng chú ý với một cái tên Việt Nam trong danh sách tác giả:
BEAST: Surprising crypto attack against HTTPS

Phần abstract cho thấy nhóm nghiên cứu đã tìm được cách tấn công và giải mã thông tin được các trình duyệt hiện tại truyền đi theo giao thức HTTPS.

We present a new fast block-wise chosen-plaintext attack against SSL/TLS. We also describe one application of the attack that allows an adversary to efficiently decrypt and obtain authentication tokens and cookies from HTTPS requests. Our exploit abuses a vulnerability present in the SSL/TLS implementation of major Web browsers at the time of writing.

Tác giả bài báo gồm một nhà nghiên cứu độc lập: Juliano Rizzo và một cái tên việt nam: THAI DUONG (Chief Information Security Officer)
Thông tin về anh THAI DUONG trên trang chủ của hội thảo:

Sobre Thai Duong
Thai Duong is a hacker from Vietnam, currently working as the Chief Information Security Officer at one of Vietnam's leading commercial banks where he leads the Information Security Department to protect 4 million customers completing more than 500,000 transactions a day. Thai has eight years experience in computer security, and now specializes in cryptography and application security. He co-authored a research on MD5 extension attack that made the Top Ten Web Hacking Techniques of 2009. Recently, he presented about practical crypto attacks at Black Hat Europe 2010.

Trước đó, năm 2010, hai tác giả cũng đã có công bố công trình:
Padding Oracles Everywhere , được bình chọn là 1 trong 10 kỹ thuật hack nổi bật của năm.

DƯƠNG NGỌC THÁI, anh là ai? chi tiết các công trình này là như thế nào?
Chờ câu lạc bộ UIT Netwrok security giải đáp, mình chỉ lướt báo và tổng hợp, UNS vào đây nào !!!

[10520058]

sẽ có câu trả lời cho các bạn trong 24 h tới
p/s lâu lâu anh An nắn gân UNS thì phải )

[07520004]

sẽ có câu trả lời cho các bạn trong 24 h tới

Mình đọc báo thấy hay nhưng không phải người trong giới bảo mật không dám múa rìu qua mắt thợ, để chuyên gia vào thảo luận nó mới chất lượng chớ \D/
Bác Thái này có vẻ nổi tiếng đã lâu, chắc giới hacker phải có thông tin gì đó chứ, tội gì google cho cực chờ UNS thôi \D/

PS: Quên nói với chú Huy, cái hẹn 24h này là chú tự hẹn hay cả câu lạc bộ hẹn thế =))

[10520058]

là em hẹn đấy ah anh Thái cũng được biết đã lâu qua blog qua những bài viết của anh ấy nhưng vấn đề là có hiểu hay kh6ong thôi ^^
em hẹn là vì em tin mình sẽ hiểu những điều anh ấy nói chờ trong 24 h tới nhé em sẽ trả lời, có thiếu sót thì em chịu ném đá ^_^
em sẽ liên hệ thêm người của UNS để nói về vấn đề này, BCN đi làm rồi nên cũng hơi bận ^_^

[08520522]

Thai Duong thì đã có nghe tới. Lúc trước anh này cũng phát hiện ra lỗ hổng bảo mật trong các website chạy ASP.NET của Microsoft...

[07520164]

Cái này đăng cũng gần cả tuần rồi.Đây là video demo:

Video này demo khai thác điểm yếu này trên Paypal. Tấn công theo kiểu Man In the Middle, bắt --> decode cookie --> chiếm session.
Còn đây là bài viết trên Blog của Anh Thái: http://vnhacker.blogspot.com/2011/09/beast.html
Anh Thái hiện là trưởng phòng an toàn thông tin của ngân hàng Đông Á.
Năm 2009 cũng phát hiện lỗ hổng API của flickr.
Mình chỉ biết sơ sơ vậy thôi. Đợi gạch đá của các bạn khác

[10520058]

leader lên tiếng rồi giờ thì đến member Huynhok
tấn công theo kiều này dựa trên tấn công Rogaway-Dai của Wei-Dai dưa năm 2002 ( vì Wei-dai dựa theo ý tưởng của Rogaway) thực chất tấn công kiểu này theo như anh Hưng đã nói nhưng cơ chế làm việc để vô hiệu hóa nó thì ngoài người phát triển ra nó thì chưa ai biết. Kiểu tấn công này vô hiệu với TLS 1.1 trở lên nhưng vấn đề là TLS này lại không tương thích với SSL 3.0 và TLS 1.0 , một số giải phá được đưa ra bởi openssl nhưng vấn đề tương thích lại lần nữa đi vào bế tắc. vì sao kiểu tấn công này tồn tại lâu vậy? vì cơ bản ngoài openssl thì không có nhà phát triển ssl nào quan tâm đến nó cho đến khi BEAST ra đời =)) thật sự SSl bị lỗi kể từ khi kiểu tấn công MITD (man in the middle ) ra dời
Sẽ có người hỏi vì sao nó dựa trên Rogaway_Dai sao không dựa vào Rogaway-Dai để giải quyết ? vấn đề là nó dựa không có nghĩa là nó giống hoàn toàn ^_^
Thật sự mình cũng chưa hiểu hết cơ chế cũng như cách nó chiếm các session ^_^
sau đây al2 bức thư của Rogaway bàn về các điểm yếu trong việc sử dụng mật mã của giao thức IPSEC.

http://www.cs.ucdavis.edu/~rogaway/papers/draft-rogaway-ipsec-comments-00.txt

và của Weidai gửi nhóm openSSH

http://www.mail-archive.com/openssl-dev@openssl.org/msg10664.html

em chỉ biết thế thôi ah chờ các bạn bổ sung và ném đá ^_^!

[07520004]

Hey dà, không phải ai ở đây cũng là chuyên gia bảo mật đâu mấy bạn, nói chầm chậm tí đi. Tại sao là tấn công Man in the middle, chương trình beast là một server? sao trong video nó chạy sau khi đã login paypal và còn có chú thích là beast không gửi thông tin gì cho paypal cả?. Mà làm sao beast chen vào giữa được, nó nằm vùng sẵn trong máy hay trong Lan hay ở đâu?

Và làm sao nó decode được cookies đã mã hóa?

[10520058]

Man in the middle bởi vì nó là kiểu tấn công mà hacker đóng vai trò một proxy dứng giữa client và server ( hoặc giữa hai client với nhau ) có thể thấy dòng dữ liệu trao đổi và can thệp quá trình đó, BEAST không phải là một server và cũng không làm hại đến server trong demo nó phải chờ cho đến khi login xong bời vì nó phải login xong mới chôm cookie và decode được =)) đúng là BEAST không gửi thông tin gì cho Paypal mà là nó chặn lấy cookie ->decode chôm session trong cookie jar ( beast bao gồm javascript/applet agent và network sniffer ) nó có cái target là paypal kìa anh ^_^ nó chờ đánh hơi thôi
EM VẨN CHƯA HIỂU HẾT KIỂU TẤN CÔNG NÀY ^_^!
p/s thấy nó giống kiểu một thằng vừa bước từ ngân hàng ra và bị cướp vậy =))

[07520004]

Man in the middle bởi vì nó là kiểu tấn công mà hacker đóng vai trò một proxy dứng giữa client và server ( hoặc giữa hai client với nhau ) có thể thấy dòng dữ liệu trao đổi và can thệp quá trình đó,

Anh biết là man in the middle attacker đứng giữa, nhận thông tin từ từ hai phía sửa đổi và chuyển lại thông tin giả cho cả hai phía để đánh lừa nạn nhân khiến nạn nhân mã hóa thông tin bằng key giả do attacker cung cấp. Không gửi một byte nào cho Paypal hết làm sao man in the middle?
Mà nếu man in the middle thì làm sao qua mặt được cơ chế xác thực key của paypal?

[10520058]

Man in the middle không nhất thiết phải có key thât giả anh ah ^_^ trong BEAST nó không chôm chỉa key gì hết nó lấy nguyên cái session luôn vì em thấy nó không dùng key cũng không dùng xác thực gì hết, nếu anh để ý kĩ nó đơn giản chỉ là đứng xem rồi bắt lấy cookie -> decode rồi dùng cái đó tạo một cookie mới nhưng là session cũ ( cụ thể là thế nào thì em không rõ ) anh có thể thấy một vài dạng tấn công man in the middle mà không bên nào phát hiện ra như kiểu giả mạo DNS hay kiểu sau đây

http://vnhacker.blogspot.com/2009/11/lo-hong-nghiem-trong-cua-tlsssl.html

[07520004]

Man in the middle không nhất thiết phải có key thât giả anh ah ^_^ trong BEAST nó không chôm chỉa key gì hết nó lấy nguyên cái session luôn vì em thấy nó không dùng key cũng không dùng xác thực gì hết, nếu anh để ý kĩ nó đơn giản chỉ là đứng xem rồi bắt lấy cookie -> decode rồi dùng cái đó tạo một cookie mới nhưng là session cũ ( cụ thể là thế nào thì em không rõ ) anh có thể thấy một vài dạng tấn công man in the middle mà không bên nào phát hiện ra như kiểu giả mạo DNS hay kiểu sau đây
http://vnhacker.blogspot.com/2009/11...ua-tlsssl.html

Video demo của BEAST anh đã coi, bởi vậy mới thấy nó không giống man in the middle. Nếu man in the middle mà không rely packet cho victims thì em định nghĩa thế nào là man in the middle!

Và nếu BEAST không phải là server vậy trong video demo anh Thái start cái gì lên? Virus hay là gì? Nếu là virus chạy ngay trong máy nạn nhân thì nó chỉ việc rà tới thư mục cookies rồi open file mà đọc, có cái gì lạ đâu.

Nếu nó đứng giữa bắt packet mà không relay và edit thông tin thì làm cách nào nó giải mã được thông tin khi thông tin đó encrypt bằng public key của pay pal và chắc chắn nó không có key giải mã.

[10520058]

Video demo của BEAST anh đã coi, bởi vậy mới thấy nó không giống man in the middle. Nếu man in the middle mà không rely packet cho victims thì em định nghĩa thế nào là man in the middle!

Và nếu BEAST không phải là server vậy trong video demo anh Thái start cái gì lên? Virus hay là gì? Nếu là virus chạy ngay trong máy nạn nhân thì nó chỉ việc rà tới thư mục cookies rồi open file mà đọc, có cái gì lạ đâu.

Nếu nó đứng giữa bắt packet mà không relay và edit thông tin thì làm cách nào nó giải mã được thông tin khi thông tin đó encrypt bằng public key của pay pal và chắc chắn nó không có key giải mã.

bây giờ em chỉ có thể nói với anh là em chưa hiểu hết BEAST và man in the middle không nhất thiết phải rely victim hình như anh chưa xem cái link em đừa ^_^ MITD không nhất thiết phải chôm chỉa và sửa đổi, còn cách decrypt thì đó là kĩ thuật của anh Thái nói đúng hơn là anh ấy học mật mã học hiểu hơn chúng ta, em xem qua các bài viết về BEAST không có cái nào đề cập tới public key và privite key cả nó chỉ nói đến cách mã hóa của TSL mà thôi nói đúng hơn là nó giải mã các request trong SSL stream mới đúng
p/s hi vọng anh hài lòng với cách trả lời của em vì em cũng hết cách trả lời rồi ah ^_^!

[07520004]

bây giờ em chỉ có thể nói với anh là em chưa hiểu hết BEAST và man in the middle không nhất thiết phải rely victim hình như anh chưa xem cái link em đừa ^_^ MITD không nhất thiết phải chôm chỉa và sửa đổi, còn cách decrypt thì đó là kĩ thuật của anh Thái nói đúng hơn là anh ấy học mật mã học hiểu hơn chúng ta, em xem qua các bài viết về BEAST không có cái nào đề cập tới public key và privite key cả nó chỉ nói đến cách mã hóa của TSL mà thôi nói đúng hơn là nó giải mã các request trong SSL stream mới đúng
p/s hi vọng anh hài lòng với cách trả lời của em vì em cũng hết cách trả lời rồi ah ^_^!

Không hài lòng mới phải hỏi lại.

SSL là asymmetric encryption nên nó có public key và private key. Và ngay cả trong phần abstract của paper anh Thái công bố cũng không dám ghi đã tìm được cách decrypt SSL!!! Nhớ cái đó. Beast có decode cái gì hay không thì không biết nhưng chắc chắn là nó không decrypt được thông tin ĐÃ ĐƯỢC SSL MÃ HÓA.

Man in the middle nếu không relay (không phải rely nhá) pubulic key và private key giả cho victim thì làm sao nó decrypt được thông tin!! Cái link em đưa anh không biết em muốn nói điều gì qua nó vì ràng ngay trong link cũng nói đến việc chèn thông tin giả mạo:

allow a man-in-the-middle (MITM) operating at or below the TCP layer to inject a chosen plaintext prefix into the encrypted data stream

[10520058]

cái link em đưa là đề cho anh thấy không phải mkie63u MTMD nào cũng bị phát hiện ^_^

http://www.schneier.com/blog/archives/2011/09/man-in-the-midd_4.html

em hiểu như thế từ cái này ^_^!