zayıfdh.org Web sitesi Logjam saldırısı hakkındadır. Web sitesi adının dikkatsizlere önerebileceğinin aksine, bu DH'nin zayıf olmasıyla ilgili değildir; daha çok DH kullanırken işleri zayıf bir şekilde yapmakla ilgilidir.

Diffie-Hellman belirli bir asal p modulo tamsayıların çarpımsal bir alt grubunda çalışır. Bazı DH yapmak için, şu DH parametrelerini kullanırsınız:

• p : "modül" adı verilen büyük bir asal
• q : p -1'in bölen, "alt grup sırası" olarak adlandırılan
• g : q sırasının p tamsayı modülü (bu, g ^{k > 0 tamsayısının > k} = 1 mod p k = q )

DH'nin güvenli olması için aşağıdakilere ihtiyacınız vardır:

• p Index Calculus aracılığıyla ayrık logaritma girişimini yenmelidir a>. Bu, p 'nin yeterince büyük olması gerektiği ve ayrıca 2 kuvvetine çok yakın olması gibi herhangi bir "özel yapıya" sahip olmaması gerektiği anlamına gelir, çünkü bu tür yapılar Dizin Hesaplamasında iyileştirmelere izin verir. Öyle ki, DH için boyut gereksinimleri, RSA için boyut gereksinimleriyle hemen hemen aynıdır, ancak bunun altında yatan neden karmaşık ve kısmen rastlantısaldır. Yani, temel olarak, 2048 bitlik rastgele bir p kullanın ve sorun olmayacaktır.

• q asal olmalıdır veya boyutu ayrık logaritma için genel algoritmaları yenmek için yeterli olan bir ana bölen var. q 'nun en büyük asal böleninin boyutu (bit cinsinden) z ise, genel algoritmaların 2 ^{z cinsinden bir maliyeti vardır / 2} . En iyi sonuçlar için q 'nun 256 bit veya daha fazla asal olmasını sağlayın.

• Bir DH anahtar değişimi gerçekleştirmek için parametreleri kullanan sistemler, elbette kriptografik olarak güçlü bir rastgelelik kaynağı kullanarak tek tip olarak 1 ve q -1 arasında rastgele bir tam sayı oluşturmalıdır. q asalsa ve 256 bitten büyükse, 128 bitlik güvenlik elde etmek için 256 bitlik rastgele bir değer seçmek yeterlidir. Bununla birlikte, q asal değilse, işler daha karmaşıktır: q , r bitlerine ve nin en büyük asal bölenine sahipse q , e bit ve e ≥ 256 boyutuna sahipse, r boyutunda x rastgele bir değer seçilebilir - ( e -256) bit ile normal "128 bitlik güvenlik" elde edilir.

  p sözde olduğunda "güvenli asal", ardından p = 2⁠ r +1, bir asal r için, yani herhangi bir jeneratör için g bu 1 veya p -1 değil, g sıralaması r veya 2⁠ r olacaktır , bu nedenle, rasgele 257 bit değerler olarak x DH gizli anahtarları oluşturmak yeterlidir. "Güvenli asal sayılar" aslında bu nokta dışında diğer asal sayılardan daha güvenli değildir: herhangi bir jeneratör için nispeten küçük DH gizli anahtarlarının seçimine tolerans gösterirler.

• Son ama değil en azından DH, doğası gereği kimlik doğrulama veya gizlilik sağlamayan bir anahtar değişim algoritmasıdır. DH, yalnızca veri gizliliği ve bütünlüğü gibi aranan özellikleri elde etmek için DH ve uygun entegrasyona sahip diğer algoritmaları kullanan bir protokol içinde kullanıldığında "güvenlidir".

Bazı (birçok) SSL / TLS uygulamasının, DH'yi zayıf parametrelerle, özellikle 512 bitlik bir modülle yapmayı memnuniyetle kabul etmeleri nedeniyle yanlış bir şekilde yaptıklarından bahsetmişken. ServerKeyExchange mesajı sunucunun istemciye p ve g DH parametrelerini göndermesine izin verdiğinden, protokolün kendisi DH'yi işlemede yetersizdir. ama q değil, müşteriyi biraz karanlıkta bırakır. Bu nedenle, istemci ya "güvenli oynamalı" ve anahtarını tam 1 .. p -1 aralığında oluşturmalı veya daha kısa bir üs (örneğin, 256 bit, 2048 değil) kullanmaya çalışmalıdır. daha düşük hesaplama maliyeti, ancak q alt grup siparişinin asal olmaması durumunda muhtemelen zayıflık riski altındadır. Daha iyi bir tasarım, sunucunun q değerini ve q ’nun en büyük böleninin boyutunu göndermesine izin verirdi. Bu bağlamda, SSL / TLS'nin ECDHE şifre paketleri (DH eliptik eğrilere çevrilmiştir) daha iyi bir tasarıma sahiptir.

SSL / TLS'nizi yapılandırıyorsanız pratik bir cevap için sunucu: en az 2048 bitlik bir modül ve g sırasının asal q olacağı şekilde bir g oluşturucu kullanmalısınız en az 256 bit; alternatif olarak, "güvenli üssü" olan bir p modülü kullanabilirsiniz ( g sıralaması bu durumda ya çok büyük bir asal olacaktır ya da çok büyük bir asalın iki katı olacaktır, ki neredeyse aynı derecede iyi). Bazı insanlar mevcut değerleri yeniden kullanmak yerine DH parametrelerini "kendileri" (*) oluşturduklarında kendilerini daha güvende hissederler; geceleri uyumana izin vermek için gereken buysa, o zaman yap.

^{(*) İnsanlar DH parametrelerini asla kendileri oluşturmaz; bir bilgisayar kullanırlar. Ama yine de burada psikolojiden bahsediyoruz.}

Her şeyden önce paniğe kapılmayın, Diffie-Hellman'ın algoritması doğru kullanılırsa tamamen iyidir (doğru parametrelerle).

Bazı ön bilgileri açıklayayım:

1. SSL / TLS Protokolü Nedir?

Kanalda gönderilen verilerin gizlice dinlenmesini ve değiştirilmesini önleyen, HTTPS'de kullanılan temel protokoldür. İstemci ve sunucu arasında anahtar değişimi yapmak için diffie-hellman protokolünü kullanır.

2. Şifre paketleri nedir?

SSL / TLS protokolü genişletilebilir olması, verilerin şifrelenmesi ve imzalanması için çeşitli algoritmalar kullanma yeteneğine sahiptir, bu değiştirilebilir paketler şifre paketleri olarak adlandırılır, anahtar değişimi için RSA, toplu veri şifreleme için RC4 ve MD5 kullanan şifreleme paketiniz olarak TLS_RSA_WITH_RC4_128_MD5'e sahip olabilirsiniz. imza.

LogJam nedir?

Şimdi EXPORT-GRADE olarak adlandırılan bu şifre paketlerinden bazıları var (ör. TLS_RSA_EXPORT_WITH_RC4_40_MD5), ABD nedeniyle kasıtlı olarak zayıflar kriptografik algoritmalara ilişkin ihracat düzenlemeleri. Bu şifreleme takımları kısa anahtar uzunluğuna sahiptir ve kolayca kırılabilir, eğer birisi bunları sunucularında devre dışı bırakmazsa ve istemci bunları kullanırsa, paylaşılan anahtarlar sızdırılabilir ve şifreleme bir saldırgan tarafından kırılabilir. RSA'ya FREAK adında ve Diffie-Hellman'da LogJam adında bir saldırı oldu.

İstemci EXPORT-GRADE şifre paketlerini kullanmaya zorlanabilirse ve sunucu bunları desteklerse saldırgan kısa anahtar uzunluğu kullanımı nedeniyle diffie-hellman algoritmasını kırarak bir MITM saldırısı yapın. LogJam bununla ilgili.

Bazı web sunucularının, 1024 uzunluğunda varsayılan diffie-hellman parametrelerini kullandığı başka bir güvenlik açığı daha vardı ve bu da kırıldı.

Not: Her şey parametrelerle ilgili algoritmalarda kullanıldığında, Diffie-Hellman algoritmasının kendisinde yanlış bir şey yoktur.

Şimdi ne yapmalı?

Modern tarayıcılar kullanıyorsanız ve onları güncel tutarsanız, şimdiye kadar bu saldırının gerçekleşmesini zaten engellemişlerdir.

Bir web sunucusu çalıştırıyorsanız, SSL'nizi yapılandırmak için en iyi uygulamaları kullandığınızdan emin olun / TLS'nin etkin olduğu sürümler ve temeldeki şifre paketleri.

Minimum anahtar boyutuna gelince, 1024 bit normal saldırganların erişemeyeceği yerdedir, ancak ulus devlet değil. 2048 bit güvenlidir. Ayrıca, eliptik eğri üzerinde diffie-hellman olan ve temelde size daha kısa anahtar uzunluğu ile aynı düzeyde güvenlik sağlayan ECDHE'yi de kullanabilirsiniz.