💻 computer science

One (Thread) Can Keep a (PRNG) Secret, but not Two

Dieses Paper präsentiert den ersten kryptanalytischen Angriff, der eine Race Condition im IPv6 Fragment ID PRNG des XNU-Kernels ausnutzt, um Sequenznummern vorherzusagen und Off-Path-Spoofing von TCP- und UDP-Verkehr zu ermöglichen, eine Schwachstelle, die nun von Apple durch CVE-2024-27823 behoben wurde.

Ursprüngliche Autoren: Ehood Porat, Amit Klein, Benny Pinkas

Veröffentlicht 2026-06-03

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Ehood Porat, Amit Klein, Benny Pinkas

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie verschicken einen großen, wichtigen Brief an einen Freund. Da der Brief zu groß für einen einzelnen Umschlag ist, zerlegt die Post (das Netzwerk) ihn in kleinere Stücke, oder Fragmente. Um sicherzustellen, dass die Stücke in der richtigen Reihenfolge wieder zusammengesetzt werden, erhält jedes Stück eine eindeutige Ticketnummer (genannt Fragment-ID).

Das Papier, nach dem Sie gefragt haben, beschreibt eine clevere Methode, mit der ein Hacker diese Ticketnummern im Voraus erraten kann, um so ein Stück Ihres Briefes durch ein gefälschtes auszutauschen, ohne dass Sie oder Ihr Freund es bemerken.

Hier ist die Aufschlüsselung des Angriffs, einfach erklärt:

1. Die geheime Ticket-Maschine (Der PRNG)

Apples Computer (macOS und iOS) verwenden eine spezielle „Ticket-Maschine“ im Inneren ihres Gehirns (des Kernels), um diese zufälligen Ticketnummern zu generieren. Die Maschine soll unvorhersehbar sein, wie das Werfen eines Würfels. Wenn die Zahlen wirklich zufällig sind, kann niemand das nächste Ticket erraten.

Die Forscher fanden jedoch einen Fehler in der Funktionsweise dieser Maschine, wenn sie unter Hochdruck arbeitet.

2. Das Problem „Zwei Personen, eine Maschine“ (Die Race Condition)

Stellen Sie sich einen belebten Ticket-Schalter vor, an dem zwei Personen (zwei Computer-Threads) versuchen, im selben Millisekundenbruchteil ein Ticket zu greifen.

Normalerweise: Die Maschine gibt Person A ein Ticket, dann Person B ein anderes.
Der Fehler: Weil die Maschine nicht „thread-sicher“ ist (sie besitzt keine Sperre, um zu verhindern, dass zwei Leute gleichzeitig zugreifen), greifen beide Personen möglicherweise dieselbe Startnummer. Beide führen die Berechnung aus, aber weil sie mit derselben Nummer gestartet sind und leicht unterschiedliche Schritte vollzogen haben, entsteht ein seltsames Muster.

Das Muster: Die Forscher fanden heraus, dass die Maschine bei diesem „Race“ eine spezifische Zahlenfolge produziert, die so aussieht: A, B, C, B.
Beachten Sie, dass B zweimal erscheint, getrennt durch C. Dieses „B-C-B“-Muster ist der entscheidende Beweis. Es sagt dem Angreifer: „Hey! Die Maschine hatte gerade eine Race Condition! Ich kann jetzt sehen, wie die internen Zahnräder der Maschine drehen.“

3. Den Code knacken (Kryptanalyse)

Sobald der Angreifer genügend dieser „B-C-B“-Muster gesammelt hat, kann er die Maschine rückentwickeln.

Betrachten Sie die Maschine wie ein Kombinationsschloss. Das „B-C-B“-Muster liefert dem Angreifer einen Hinweis auf die aktuelle Position der Walzen im Inneren des Schlosses.
Durch das Sammeln genügend dieser Hinweise kann der Angreifer den gesamten internen Zustand der Maschine ermitteln.
Sobald er den internen Zustand kennt, kann er exakt vorhersagen, was die nächsten Ticketnummern sein werden.

### 4. Der Austausch (Der Angriff)

Nun, da der Angreifer die Ticketnummern vorhersagen kann, kann er einen „Man-in-the-Middle“-Trick anwenden, allerdings ohne physisch dazwischenzusitzen.

Das Szenario: Sie senden eine große Datei (wie ein Backup Ihres Codes) an einen Server. Die Datei wird in Stücke zerlegt.
Der Schutz: Das erste Stück Ihrer Datei enthält Ihr Passwort und Ihre Signatur (Authentifizierung). Der Server prüft dieses erste Stück zuerst, um sicherzustellen, dass Sie auch wirklich Sie selbst sind.
Der Trick: Der Angreifer wartet, bis das erste Stück eintrifft. Dann nutzt er seine Vorhersage, um die Ticketnummer für das zweite Stück zu erraten. Er sendet schnell ein gefälschtes zweites Stück mit einer bösartigen Nachricht (wie einem Virus oder einer geänderten Datei), das die korrekte Ticketnummer besitzt.
Das Ergebnis: Der Server erhält das echte erste Stück (mit dem gültigen Passwort) und das gefälschte zweite Stück (mit dem Virus). Er setzt sie zusammen, glaubt, alles sei in Ordnung, und speichert die infizierte Datei. Der Angreifer hat die Sicherheitsprüfung umgangen, weil die Prüfung nur beim ersten Stück stattfand.

Reale Beispiele aus dem Paper

Die Forscher haben dies an zwei spezifischen Dingen getestet:

NFS (Network File System): Sie zeigten, wie ein Angreifer eine Datei ändern könnte, die gerade auf einen Server gesichert wird. Beispielsweise könnten sie ein „Trojanisches Pferd“ in eine Standard-Computercode-Datei injizieren. Wenn ein Entwickler diesen Code später kompiliert, läuft der Virus.
HTTP (Web-Browsing): Sie zeigten, wie ein Angreifer eine Web-Anfrage (wie einen Login oder das Absenden eines Formulars) manipulieren kann, während sie über das Netzwerk übertragen wird.

Warum das wichtig ist

Es ist neu: Dies ist das erste Mal, dass jemand eine „Race Condition“ (einen Timing-Fehler) genutzt hat, um einen Zufallszahlengenerator zu brechen. Normalerweise führen Race Conditions nur zu Abstürzen; hier wurden sie genutzt, um Geheimnisse zu stehlen.
Es ist praktisch: Der Angriff funktioniert auf echten Apple-Geräten (M1, M2 Chips, Intel Macs), die verschiedene Versionen von macOS und iOS ausführen.
Die Lösung: Apple hat dies bereits behoben. Die Sicherheitslücke wurde unter der ID CVE-2024-27823 registriert. Die Behebung besteht darin, die Ticket-Maschine „thread-sicher“ zu machen, damit zwei Personen nicht gleichzeitig die Startnummer greifen können.

Kurz gesagt: Das Paper zeigt, dass, wenn der Zufallszahlengenerator eines Computers durch zwei gleichzeitig ablaufende Vorgänge verwirrt wird, ein Hacker diese Verwirrung nutzen kann, um die Zukunft vorherzusagen, Teile Ihrer Daten auszutauschen und Malware an Ihren Sicherheitskontrollen vorbeizuschleusen.

Technisches Resümee: „One (Thread) Can Keep a (PRNG) Secret, but not Two“

Problemstellung

Das Paper adressiert eine kritische Schwachstelle im Algorithmus zur Generierung von IPv6-Fragment-IDs im XNU-Kernel, der Apples macOS- und iOS-Betriebssysteme antreibt. Während Pseudo-Zufallszahlengeneratoren (PRNGs) essenziell sind, um unvorhersehbare Netzwerk-Identifikatoren (wie Session-IDs und Sequenznummern) zu erzeugen, um Traffic-Hijacking und Spoofing zu verhindern, wurde festgestellt, dass die spezifische Implementierung in XNU anfällig für Race Conditions ist.

Das Kernproblem besteht darin, dass der XNU-Kernel-PRNG, der zur Generierung von 32-Bit-Fragment-IDs verwendet wird, keine Thread-Sicherheitmechanismen (wie Sperren/Locking) besitzt. Wenn mehrere Threads den PRNG gleichzeitig aufrufen, kann der interne Zustand auf nicht-atomare Weise gelesen und aktualisiert werden. Diese Race Condition ermöglicht es einem Angreifer, duplizierte Ausgabewerte im Fragment-ID-Strom zu induzieren. Das Paper postuliert, dass diese Duplikate nicht bloßes Rauschen sind, sondern unterscheidbare Muster enthalten, die den internen Zustand des PRNG offenbaren und es einem Angreifer ermöglichen, den Generator kryptanalytisch zu brechen und zukünftige Fragment-IDs vorherzusagen.

Methodik

Die Autoren schlagen ein neuartiges Angriffssframework vor, das aus drei Primitiven besteht: dem Auslösen einer Race Condition, der Durchführung einer Kryptanalyse basierend auf den resultierenden Mustern und der Ausführung eines partiellen Spoofing-Angriffs.

1. Auslösen der Race Condition

Der Angriff erfordert einen Off-Path-Angreifer, der eine Race Condition in der ip6 randomid() Funktion des XNU-Kernels induziert. Dies wird erreicht, indem der Ziel-macOS-Host dazu gezwungen wird, gleichzeitig fragmentierte IPv6-Pakete zu generieren. Die Autoren demonstrierten zwei Methoden hierfür:

Remote „Fragmentation Service“: Der Angreifer sendet ein hohes Volumen an Anfragen (ca. 1 Gbps) an einen Dienst, der auf dem Zielgerät läuft (z. B. einen UDP-Echo-Server), was dazu führt, dass das Zielgerät simultan fragmentierte Pakete als Antwort sendet.
Lokale bösartige App: Ein Prozess mit niedrigen Privilegien auf dem Zielgerät sendet rapide fragmentierte Pakete an den Angreifer.

Das Fehlen von Sperren im Kernel erlaubt es zwei Threads, denselben internen Zustand $x$ zu lesen, unterschiedliche Anzahl an internen Schritten ( $n_A$ und $n_B$ ) durchzuführen und den neuen Zustand zurückzuschreiben. Dies führt zu einer spezifischen Ausgabefolge: $X, Y, Z, Y$ , wobei $Y$ ein Duplikatwert ist, der durch $Z$ getrennt wird.

2. Race-Condition-gestützte Kryptanalyse

Die Autoren führen eine neue kryptanalytische Methode ein, die die $XYZY$-Sequenz ausnutzt.

Die Erkenntnis: Die Sequenz impliziert spezifische mathematische Beziehungen zwischen den internen Zuständen, die mit $X, Y$ und $Z$ korrespondieren. Speziell ist die Wahrscheinlichkeit, dass die internen Zustände von $X$ und $Z$ (oder $Y$ und $Z$ ) modulo 4 differieren, signifikant höher als bei einer Zufallsverteilung (ca. 0,9 gegenüber 0,75).
Der Angriff: Der Angreifer sammelt eine große Anzahl von $XYZY$-Sequenzen. Unter Verwendung dieser führt er eine vierphasige Kryptanalyse durch, um die statischen Schlüssel des PRNG ( $s_1, g, s_2, a, b$ $s_{1}, g, s_{2}, a, b$ ) zu extrahieren:
1. Extraktion von $s_1$ : Durch Maximierung der Anzahl der Ungleichungen, die für die beobachteten Sequenzen über alle $2^{31}$ Werte von $s_1$ hinweg gelten.
2. Extraktion von $g$ : Unter Verwendung des bekannten $s_1$ und der Abhängigkeiten in aufeinanderfolgenden Fragment-IDs.
3. Extraktion von $s_2$ : Erweiterung der Technik aus Phase 2.
4. Extraktion von $a, b$ : Lösen linearer Gleichungen basierend auf den rekonstruierten internen Zuständen.
Synchronisation: Sobrem die Schlüssel wiederhergestellt sind, synchronisiert der Angreifer seinen lokalen PRNG-Simulator mit dem aktuellen Zustand des Ziels (unter Berücksichtigung von Paketverlusten), um zukünftige Fragment-IDs vorherzusagen.

3. Partielles UDP/TCP-Spoofing

Mit der Fähigkeit, Fragment-IDs vorherzusagen, kann der Angreifer partielles Spoofing durchführen.

NFS (UDP) Fall: Die Autoren zielen auf NFS WRITE-Aufrufe über UDP mit Kerberos-Authentifizierung (RPCSEC GSS) ab. Die Authentifizierungssignatur deckt den RPC-Header (der im 1. Fragment enthalten ist) ab, aber nicht die Dateinutzlast (die in nachfolgenden Fragmenten enthalten ist). Durch die Vorhersage der Fragment-ID kann der Angreifer das 2. Fragment (das bösartige Dateiinhalte enthält) fälschen, während das 1. Fragment (das eine gültige Authentifizierung enthält) unberührt bleibt. Der Angreifer passt zudem die UDP-Checksumme an, um sicherzustellen, dass das Paket akzeptiert wird.
HTTP (TCP) Fall: Die Technik wird auf TCP-Segmente angewendet, um HTTP-POST-Anfragen zu modifizieren und Angreifer-erstellte Inhalte einzuschleusen.

Zentrale Beiträge

Erste Race-Condition-gestützte Kryptanalyse: Das Paper präsentiert den ersten bekannten kryptanalytischen Angriff, der darauf basiert, eine Race Condition zu triggern, um ein kryptographisches Primitiv (PRNG) zu brechen.
XNU PRNG Break: Ein praktischer Angriff auf den IPv6-Fragment-ID-Generierungsalgorithmus des XNU-Kernels, der die vollständige Extraktion des internen Zustands und die Vorhersage zukünftiger Ausgaben ermöglicht.
Authentifizierungs-Bypass: Eine Demonstration des Umgehens der Kerberos-Authentifizierung in NFS durch Ausnutzung der Fragmentierung, speziell durch die Modifikation von Dateiinhalten während des Transfers ohne gültige Anmeldedaten.
TCP-Segment-Spoofing: Erfolgreiche Anwendung der Technik zum Spoofen von TCP-Segmenten, um HTTP-Anfragen zu modifizieren.

Experimentelle Ergebnisse

Die Autoren validierten den Angriff auf verschiedenen Hardware-Systemen (Intel x64, Apple M1/M2 ARM64) und macOS-Versionen (von Catalina bis Sonoma).

Erfolg der Kryptanalyse: In Experimenten extrahierte der Angriff erfolgreich den PRNG-Zustand. Die statistische Metrik $z$ (Distanz zur Zufallserwartung) lag zwischen 8,7 und 15,5, was weit über dem erforderlichen Schwellenwert von 7 liegt und die Validität der $XYZY$-Musteranalyse bestätigt.
Durchführung des Angriffs: Den Autoren gelang es, bösartige Inhalte in Dateien auf einem NFS-Server zu injizieren. In 10 Testläufen war der Angriff jedes Mal erfolgreich und modifizierte eine Header-Datei (random.h) mit trojanisiertem Code.
Zeitaufwand: Die Kryptanalyse-Phase dauerte zwischen 3 und 8 Minuten auf einer leistungsstarken Azure VM (48 Kerne). Obwohl dies langsamer als das 180-sekündige PRNG-Reseeding-Intervall ist, merken die Autoren an, dass mit schnellerer Hardware ein Echtzeit-Angriff machbar ist. Sie demonstrierten zudem die Validität des Angriffs, indem sie das Reseeding-Timeout über ein Kernel-Modul verlängerten, um eine Echtzeit-Ausführung in einer kontrollierten Umgebung zu ermöglichen.

Bedeutung und Ansprüche

Das Paper behauptet, eine neue Tür in der Kryptanalyse aufgestoßen zu haben, indem es zeigt, dass Race Conditions, die oft nur als Performance-Bugs betrachtet werden, schwerwiegende kryptographische Auswirkungen haben können.

Neuheit: Es ist der erste Angriff, der Race Conditions als primären Vektor für die Kryptanalyse nutzt.
Schweregrad: Die Schwachstelle ermöglicht Off-Path-Angreifern, starke Authentifizierungsmechanismen (Kerberos) zu umgehen und Daten im Transit zu modifizieren – eine Fähigkeit, die bisher als Man-in-the-Middle (MITM)-Positionierung oder schwacher Kryptographie vorausgesetzt wurde.
Ursache: Die Autoren heben hervor, dass die Schwachstelle (eingeführt 2012) über ein Jahrzehnt lang Bestand hatte, da Race Conditions in PRNGs keine Systemabstürze oder Leistungseinbußen verursachen, was sie für Standardtests und Nutzerberichte unsichtbar macht.
Lösung: Die Schwachstelle wurde Apple am 28. Februar 2024 gemeldet und unter der Kennung CVE-2024-27823 in allen XNU-basierten Produkten gepatcht.

Das Paper schließt mit der Feststellung, dass der spezifische XNU-PRNG zwar vielleicht nicht „industriestark“ sein mag, das Konzept der Race-Condition-gestützten Kryptanalyse jedoch potenziell auf stärkere kryptographische Algorithmen anwendbar sein könnte, was auf eine breitere Klasse von Schwachstellen in konkurrierenden kryptographischen Implementierungen hindeutet.