Chyba zabezpečení Cisco, Huawei, ZyXel a Huawei kryptografická chyba IPSEC IKE

Střední

Vědci z Ruhr-Universitat Bochum: Dennis Felsch, Martin Grothe a Jorg Schwenk a vědci z University of Opole: Adam Czubak a Marcin Szymanek objevili možný kryptografický útok na zranitelné implementace IPSec IKE používané mnoha síťovými firmami, jako je Cisco, Huawei, ZyXel a Clavister. Vědci zveřejnili dokument o svém výzkumu a mají představit důkaz koncepce útoku někdy tento týden na bezpečnostním sympoziu USENIX v Baltimoru.

Podle výzkumu zveřejněno , používající stejný pár klíčů napříč různými verzemi a režimy implementací IKE „Může vést k obejití ověřování napříč protokoly, což umožňuje předstírání identity oběti hostitele nebo sítě útočníky.“ Vědci vysvětlili, že způsob, jakým to funguje, je takový 'Využíváme Bleichenbacherovu věštbu v režimu IKEv1, kde se pro autentizaci používají nonce šifrované RSA.' Pomocí tohoto zneužití prolomíme tyto režimy založené na šifrování RSA a navíc prolomíme autentizaci založenou na podpisu RSA v IKEv1 i IKEv2. Kromě toho popisujeme offline slovníkový útok proti režimům IKE založeným na PSK (Pre-Shared Key), který pokrývá všechny dostupné mechanismy ověřování IKE. “

Zdá se, že tato chyba zabezpečení vychází z selhání dešifrování v zařízeních prodejců. Tyto poruchy by mohly být využity k přenosu záměrných šifrovacích textů do zařízení IKEv1 s noncesy šifrovanými RSA. Pokud je útočník úspěšný při provádění tohoto útoku, mohl by získat přístup k načteným šifrovaným nonces.

Vzhledem k citlivosti této chyby zabezpečení a ohroženým síťovým firmám několik síťových společností vydalo opravy, které tento problém řeší, nebo zcela odstranily riskantní proces ověřování ze svých produktů. Dotčenými produkty byly software Cisco pro IOS a IOS XE, produkty ZyXel ZyWALL / USG a firewally Clavister a Huawei. Všechny tyto technologické společnosti vydaly příslušné aktualizace firmwaru, které lze stáhnout a nainstalovat přímo do jejich produktů.