Бэкдор

Бэкдор, тайный вход (от англ. back door — «чёрный ход», буквально «задняя дверь») — дефект алгоритма, который намеренно встраивается в него разработчиком и позволяет получить несанкционированный доступ к данным или удалённому управлению операционной системой и компьютером в целом.

Основной целью бэкдора является скрытное и быстрое получение доступа к данным, в большинстве случаев — к зашифрованным и защищённым. Например, бэкдор может быть встроен в алгоритм шифрования для последующей прослушки защищённого канала злоумышленником.

Основные свойства бэкдораПравить

Идеальный бэкдорПравить

• сложно обнаружить;
• можно использовать многократно;
• легко отрицать — выглядит как ошибка, и в случае обнаружения разработчик может сослаться, что допустил эту ошибку случайно и злого умысла не имел;
• эксплуатируем только при знании секрета — только тот, кто знает, как активируется бэкдор, может им воспользоваться;
• защищён от компрометации предыдущими использованиями — даже если бэкдор был обнаружен, то невозможно установить, кем он до этого эксплуатировался и какой информацией завладел злоумышленник;
• сложно повторить — даже если бэкдор был кем-то найден, то его невозможно будет использовать в другом коде или в другом устройстве.

Распространённые принципы создания бэкдоров в алгоритмахПравить

• слабая устойчивость алгоритма к криптоанализу;
• специально подобранные константы — алгоритм может стать неустойчивым к криптоанализу при выборе определённых значений констант, используемых в его работе;
• сложность в безопасной реализации — это означает, что безопасная реализация алгоритма работает слишком медленно, и все будут использовать небезопасный вариант, что и выгодно злоумышленнику.

Гипотетические примеры бэкдоров в современных алгоритмахПравить

Уязвимость генератора псевдослучайной последовательности DUAL_EC_DRBGПравить

Данный генератор был разработан в АНБ и стандартизован в качестве криптографически стойкого генератора псевдослучайных чисел национальным институтом стандартов и технологий США NIST в 2006 году. Однако уже в 2007 году независимыми исследователями было высказано предположение, что в этот алгоритм мог быть встроен бэкдор.

Иллюстрация работы алгоритма согласно спецификации АНБ:

 

Данный алгоритм использует эллиптические кривые. $P$$P$  — генератор группы точек на эллиптической кривой, $Q$$Q$  — точка на эллиптической кривой — константа, определённая стандартом, как она была выбрана неизвестно. Параметры самой кривой также заданы стандартом.

Принцип работы:

Уравнение кривой

$y^2=(x^3+ax+b)modp$$y^{2}=(x^{3}+ax+b){\bmod {p}}$ 

можно переписать в виде $x=\mathrm{\phi <!--\; \phi \; -->}(x,y)modp$$x=\varphi (x,y){\bmod {p}}$  и записать следующие выражения для работы алгоритма:

$r_i=\mathrm{\phi <!--\; \phi \; -->}(s_i\ast <!--\; \ast \; -->P)$$r_i = \varphi(s_i*P)$  , $t_i=\mathrm{\phi <!--\; \phi \; -->}(r_i\ast <!--\; \ast \; -->Q)$$t_i = \varphi(r_i*Q)$  , $s_{i+1}=\mathrm{\phi <!--\; \phi \; -->}(r_i\ast <!--\; \ast \; -->P)$$s_{i+1} = \varphi(r_i*P)$ 

$s_i$$s_{i}$  — внутреннее состояние генератора на текущем шаге

$s_{i+1}$$s_{i+1}$  — внутреннее состояние генератора на следующем шаге

$t_i$$t_{i}$  — выход генератора на текущем шаге

Предполагаемый бэкдор:

Так как $p$$p$  — простое число, то существуют такое число $e$$e$ , что $e\ast <!--\; \ast \; -->Q=P$$e*Q=P$ . Нахождение $e$$e$  — вычислительно сложная задача дискретного логарифмирования на эллиптической кривой, для решения которой на сегодняшний день не существует эффективных алгоритмов. Но если предположить, что злоумышленник знает $e$$e$  , то получается следующая атака: Если $x=t_i$$x=t_i$  — очередной выход генератора, и если существует такое $y$$y$ , что $y^2\equiv <!--\; \equiv \; -->(x^3+ax+b)modp$$y^{2}\equiv (x^{3}+ax+b){\bmod {p}}$ , то точка $A=(x,y)$$A =(x,y)$ , лежит на кривой и для неё выполняется следующее равенство: $A=r_i\ast <!--\; \ast \; -->Q$$A=r_i*Q$ . Зная число $e$$e$  можно вычислить: $s_{i+1}=\mathrm{\phi <!--\; \phi \; -->}(e\ast <!--\; \ast \; -->A)=\mathrm{\phi <!--\; \phi \; -->}(e\ast <!--\; \ast \; -->r_i\ast <!--\; \ast \; -->Q)=\mathrm{\phi <!--\; \phi \; -->}(r_i\ast <!--\; \ast \; -->P)$$s_{i+1}=\varphi(e*A)=\varphi(e*r_i*Q)=\varphi(r_i*P)$ . Таким образом, злоумышленник, знающий число $e$$e$ , может не только вычислить следующий выход генератора, но и быстро перебрать все возможные внутренние состояния генератора и восстановить его начальное внутреннее состояние. Согласно независимым исследованиям, при знании $e$$e$  достаточно всего 30 байт выходной последовательности генератора, чтобы простым перебором $2^{15}$$2^{15}$  значений восстановить его начальное внутреннее состояние. По мнению исследователей, такая уязвимость может быть расценена как бэкдор.

Ошибка в реализации протокола проверки сертификатов TLS от компании AppleПравить

Исследователями компании Яндекс была обнаружена уязвимость в реализации протокола TLS в одном из программных продуктов Apple. По их мнению, данная ошибка вполне может оказаться бэкдором, намеренно встроенным в алгоритм кем-то из разработчиков.

Участок кода с ошибкой:

static DSStatus SSLVerifySignedServerKeyExchnge(....)
{
     DSStatus err;
     ....
     if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0)
          goto fail;
          goto fail;
     if ((SSHashSHA1.final(&hashCtx, &hashOut)) != 0)
          goto fail;
     ....
     fail:
          ....
          return err;
}

Как можно видеть, после первого оператора if стоят две строчки goto fail, и вторая строчка выполняется всегда, независимо от результата if. Таким образом процедура проверки сертификата проходит не полностью. Злоумышленник, знающий об этой уязвимости, может подделать сертификат и пройти проверку подлинности. Это позволит ему организовать атаку типа «Человек посередине», тем самым вмешаться в защищённое соединение между клиентом и сервером. Исследователи, обнаружившие данную ошибку в реализации, не могут точно сказать, намеренно она была сделана или случайно. Вполне возможно, что это бэкдор, встроенный в алгоритм кем-то из разработчиков.

Примеры методов создания бэкдоровПравить

Специально подобранные константыПравить

Очень многие современные криптографические алгоритмы используют при своей работе определённый набор внутренних констант. Как правило, эти константы задаются стандартом и выбираются из соображений криптографической стойкости к известным на данный момент видам криптоанализа. Но выбор констант при стандартизации алгоритма теоретически может быть использован разработчиками и со злым умыслом: например, для создания определённых уязвимостей и бэкдоров в алгоритме.

В качестве такого примера использования констант можно привести недавние исследовательские работы на тему так называемого «вредоносного хеширования», где авторам удалось построить коллизии для криптографической хеш-функции SHA1 путём модификации её раундовых констант. Отметим, что предложенная авторами исследования атака не является атакой на саму хеш-функцию SHA1, она позволяет лишь находить коллизии при условии возможности изменения раундовых констант и только для определённых типов файлов.

Краткое описание SHA1:

SHA1 — современная раундовая хеш-функция. Алгоритм хеширования следующий:

• Инициализируются 32-битные значения $a=h_0,b=h_1,c=h_2,d=h_3,e=h_4$$a = h_0 , b = h_1 , c = h_2 , d = h_3 , e = h_4$ 
• Входное сообщение разбивается на блоки длиной 512 бит
• Каждый блок сообщения обрабатывается и дополняется специальным образом, по алгоритму, определённому в стандарте
• Полученный блок сообщения хэшируется в 4 этапа по 20 раундов в каждом, причём для каждого этапа используется своя константа $K_1,K_2,K_3$$K_1, K_2, K_3$  или $K_4$$K_4$ 
• Выходом функции для каждого блока будут новые значения $a,b,c,d,e$$a, b, c, d, e$ , которые добавляются к результату: $h_0=h_0+a,h_1=h_1+b,h_2=h_2+c,h_3=h_3+d,h_4=h_4+e$$h_0 = h_0 + a, h_1 = h_1 + b, h_2 = h_2 + c, h_3 = h_3 + d, h_4 = h_4 + e$ 
• Итоговым результатом хеширования будет 160-битное значение полученное конкатенацией пяти 32-битных значений $h_0,h_1,h_2,h_3,h_4$$h_0, h_1, h_2, h_3, h_4$  после обработки последнего блока сообщения.

Построение коллизий:

Целью рассматриваемой атаки является нахождение таких констант $K_1,K_2,K_3,K_4$$K_1, K_2, K_3, K_4$  и таких сообщений $M_1$$M_{1}$  и $M_2$$M_{2}$  , что $Hash(M_1)=Hash(M_2)$$Hash(M_1) = Hash(M_2)$ . Данная атака модифицирует только первые 512 бит (1-й блок) сообщений, для которых требуется построить коллизию. Алгоритм базируется на уже известной разностной атаке на SHA1, предложенной в 2005 году и имеющей сложность порядка $2^{69}$$2^{69}$  операций, что делает её трудноосуществимой на практике. Поэтому до настоящего времени ни одной реальной коллизии для SHA1 найдено не было.

Но в случае создания вредоносного варианта SHA1 злоумышленник может варьировать не только блоки сообщений $M_1$$M_{1}$  и $M_2$$M_{2}$ , но и раундовые константы $K_1,K_2,K_3,K_4$$K_1, K_2, K_3, K_4$ . Согласно исследованиям, это сильно снижает сложность атаки до порядка $2^{48}$$2^{48}$  операций и делает построение таких коллизий реальной задачей которую можно выполнить на нескольких компьютерах. Таким образом, авторам исследования удалось построить одноблоковые коллизии для многих известных типов файлов.

Одноблоковая коллизия:

 

$M_1$$M_{1}$  и $M_2$$M_{2}$  — первые блоки сообщений (512 бит), которые отличаются между собой, но дают одинаковую хеш-сумму

$Content$$Content$  — остальное содержимое, которое одинаково для обоих файлов

Пример использования вредоносного хеширования для создания бэкдоровПравить

С помощью описанной атаки были созданы два sh-скрипта, которые при выборе $K_1=5a827999,K_2=88e8ea68,K_3=578059de,K_4=54324a39$$K_{1}=5a827999~,~K_{2}=88e8ea68~,~K_{3}=578059de~,~K_{4}=54324a39$  дают одинаковую хеш-сумму SHA1, но работают по-разному.

 

Как можно видеть, различие между этими двумя скриптами заключается только в первых блоках по 512 бит, которые представляют собой закоментированный мусор. Но содержимое этих блоков затем используется в условии if , следовательно скрипты при запуске работают по-разному. Подобные файлы могут быть использованы создателем со злым умыслом.

Аппаратные бэкдорыПравить

Бэкдоры могут встраиваться не только в программное обеспечение, но и в аппаратуру. Подобные бэкдоры могут использоваться производителями аппаратной начинки для встраивания в неё вредоносных функций на этапе производства.

Аппаратные бэкдоры имеют ряд преимуществ над программными:

• Не могут быть обнаружены антивирусами, сканерами кода и другим защитным ПО.
• Не могут быть устранены обновлением или заменой программного обеспечения.

Примером аппаратного бэкдора может быть вредоносная прошивка BIOS. Согласно исследованиям, такая прошивка может быть построена на основе свободных прошивок Coreboot и SeaBIOS. Coreboot не является полноценным BIOS: он отвечает только за обнаружение имеющегося на машине оборудования и передачу управления самой «начинке BIOS», в качестве которой может быть использован модифицированный злоумышленником под свои нужды SeaBIOS.

Принцип действия вредоносной прошивки кратко можно описать так: сразу после включения заражённого компьютера, ещё до загрузки операционной системы, она производит попытку установить соединение с сервером злоумышленника через интернет. Если такая попытка удалась, то производится удалённая загрузка какого-нибудь буткита, который уже в свою очередь предоставляет злоумышленнику возможность производить с заражённым компьютером вредоносные действия: кражу данных или удалённое управление. Если же попытка соединения с интернетом не удалась, то происходит нормальная загрузка операционной системы. Несомненным плюсом для злоумышленника является то, что сама по себе модифицированная прошивка не содержит в себе никакого вредоносного кода, а буткиты трудно обнаруживаются.

См. такжеПравить

• Эксплойт
• Атака «Человек-по-середине»
• DoublePulsar
• EternalBlue
• WannaCry
• Petya (червь-вымогатель)
• EternalRocks
• Агентство Национальной Безопасности США

СсылкиПравить

• Dan Shumow, Niels Ferguson. On the Possibility of a Back Door in the NIST SP800-90 Dual Ec Prng. — 2007.
• Евгений Сидоров. Криптографические баги и бэкдоры. — 2015.
• John Bryson, Patrick Gallagher. Recommendation for Random Number Generation Using Deterministic Random Bit Generators. — U.S. Department of Commerce, 2012.