💻 computer science

One (Thread) Can Keep a (PRNG) Secret, but not Two

Este artículo presenta el primer ataque criptanalítico que explota una condición de carrera en el PRNG del ID de fragmentación IPv6 del kernel XNU para predecir números de secuencia y permitir la suplantación de tráfico TCP y UDP fuera de la red, una vulnerabilidad ahora parcheada por Apple como CVE-2024-27823.

Autores originales: Ehood Porat, Amit Klein, Benny Pinkas

Publicado 2026-06-03

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Ehood Porat, Amit Klein, Benny Pinkas

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás enviando una carta grande e importante a un amigo. Debido a que la carta es demasiado grande para un solo sobre, la oficina de correos (la red) la divide en piezas más pequeñas, o fragmentos. Para asegurarse de que las piezas se vuelvan a unir en el orden correcto, cada pieza recibe un número de ticket único (llamado ID de Fragmento).

El documento que consultaste describe una forma ingeniosa en la que un hacker puede adivinar estos números de ticket por adelantado, lo que le permite reemplazar una pieza de tu carta por una falsa sin que tú o tu amigo se den cuenta.

Aquí está el desgido del ataque, explicado de forma sencilla:

1. La Máquina de Tickets Secreta (El PRNG)

Las computadoras de Apple (macOS e iOS) utilizan una "máquina de tickets" especial dentro de su cerebro (el kernel) para generar estos números de ticket aleatorios. Se supone que la máquina es impredecible, como lanzar un dado. Si los números son verdaderamente aleatorios, nadie puede adivinar el siguiente ticket.

Sin embargo, los investigadores encontraron un fallo en cómo funciona esta máquina cuando está ocupada.

2. El Problema de "Dos Personas, Una Máquina" (La Condición de Carrera)

Imagina un mostrador de tickets muy concurrido donde dos personas (dos hilos de ejecución de la computadora) intentan agarrar un ticket en el mismo milisegundo exacto.

Normalmente: La máquina le da un ticket a la Persona A, y luego a la Persona B, uno diferente.
El Error: Debido a que la máquina no es "segura para hilos" (no tiene un bloqueo para evitar que la gente agarre tickets al mismo tiempo), ambas personas podrían agarrar el mismo número inicial. Ambas ejecutan el cálculo, pero debido a que comenzaron con el mismo número y tomaron pasos ligeramente diferentes, terminan produciendo un patrón extraño.

El Patrón: Los investigadores descubrieron que, si provocas esta "carrera", la máquina produce una secuencia específica de números que se ve así: A, B, C, B.
Observa que B aparece dos veces, separado por C. Este "B-C-B" es la prueba irrefutable. Esto le dice al atacante: "¡Oye! ¡La máquina acaba de tener una condición de carrera! Ahora puedo ver cómo giran los engranjes internos de la máquina".

3. Descifrando el Código (Criptoanálisis)

Una vez que el atacante ve suficientes de estos patrones "B-C-B", puede realizar ingeniería inversa a la máquina.

Piensa en la máquina como una caja fuerte de combinación. El patrón "B-C-B" le da al atacante una pista sobre la posición actual de los discos internos de la cerradura.
Al recolectar suficientes de estas pistas, el atacante puede averiguar el estado interno completo de la máquina.
Una vez que conoce el estado interno, puede predecir exactamente cuáles serán los próximos números de ticket.

4. El Intercambio (El Ataque)

Ahora que el atacante puede predecir los números de ticket, puede realizar un truco de "hombre en el medio" (man-in-the-middle), pero sin estar físicamente en medio.

El Escenario: Estás enviando un archivo grande (como un respaldo de tu código) a un servidor. El archivo se divide en piezas.
La Protección: La primera pieza del archivo contiene tu contraseña y firma (autenticación). El servidor revisa esta primera pieza para asegurarse de que eres quien dices ser.
El Truco: El atacante espera a que llegue la primera pieza. Luego, utiliza su predicción para adivinar el número de ticket de la segunda pieza. Rápidamente envía una segunda pieza falsa con un mensaje malicioso (como un virus o un archivo modificado) que tiene el número de ticket correcto.
El Resultado: El servidor recibe la primera pieza genuina (con la contraseña válida) y la segunda pieza falsa (con el virus). Las une, piensa que todo está bien y guarda el archivo infectado. El atacante evadió la verificación de seguridad porque la comprobación solo se realizó en la primera pieza.

Ejemplos del Mundo Real del Documento

Los investigadores probaron esto en dos cosas específicas:

NFS (Sistema de Archivos de Red): Mostraron cómo un atacante podría cambiar un archivo que se está respaldando en un servidor. Por ejemplo, podrían inyectar un "Caballo de Troya" en un archivo de código estándar de la computadora. Cuando un desarrollador compile ese código más tarde, el virus se ejecutará.
HTTP (Navegación Web): Mostraron cómo un atacante podría cambiar una solicitud web (como un inicio de sesión o el envío de un formulario) mientras viaja por la red.

Por qué esto es importante

Es Nuevo: Es la primera vez que alguien utiliza una "condición de carrera" (un error de tiempo) para romper un generador de números aleatorios. Normalmente, las condiciones de carrera solo causan fallos en el sistema; aquí, se usaron para robar secretos.
Es Práctico: El ataque funciona en dispositivos Apple reales (chips M1, M2, Macs Intel) ejecutando varias versiones de macOS e iOS.
La Solución: Apple ya ha parcheado esto. Le asignaron el ID CVE-2024-27823. La solución consiste en hacer que la máquina de tickets sea "segura para hilos" (thread-safe), de modo que dos personas no puedan agarrar el número inicial al mismo tiempo.

En resumen: El documento muestra que si el generador de números aleatorios de una computadora se confunde por dos cosas sucediendo al mismo tiempo, un hacker puede usar esa confusión para predecir el futuro, intercambiar partes de tus datos y colar malware pasando por alto tus controles de seguridad.

Resumen Técnico: "Un (Hilo) Puede Guardar un (PRNG) Secreto, pero no Dos"

Declaración del Problema

El artículo aborda una vulnerabilidad crítica en el algoritmo de generación de ID de fragmentación IPv6 dentro del kernel XNU, que impulsa los sistemas operativos macOS e iOS de Apple. Mientras que los Generadores de Números Pseudoaleatorios (PRNG) son esenciales para generar identificadores de red impredecibles (como IDs de sesión y números de secuencia) para prevenir el secuestro de tráfico y la suplantación, se descubrió que la implementación específica en XNU es susceptible a condiciones de carrera (race conditions).

El problema central es que el PRNG del kernel XNU, utilizado para generar IDs de fragmentos de 32 bits, carece de mecanismos de seguridad de hilos (como bloqueos/locking). Cuando múltiples hilos invocan el PRNG de forma concurrente, el estado interno puede ser leído y actualizado de una manera no atómica. Esta condición de carrera permite a un atacante inducir valores de salida duplicados en el flujo de IDs de fragmentos. El artículo postula que estos duplicados no son meramente ruido, sino que contienen patrones distinguibles que revelan el estado interno del PRNG, permitiendo que un atacante rompa criptanalíticamente el generador y prediga futuros IDs de fragmentos.

Metodología

Los autores proponen un nuevo marco de ataque que consta de tres primitivas: desencadenar una condición de carrera, realizar criptálisis basada en los patrones resultantes y ejecutar un ataque de suplantación parcial.

1. Desencadenar la Condición de Carrera

El ataque requiere que un atacante fuera de la red (off-path) induzca una condición de carrera en la función ip6 randomid() del kernel XNU. Esto se logra forzando al host macOS objetivo a generar paquetes IPv6 fragmentados concurrentemente. Los autores demostraron dos métodos para lograrlo:

Servicio de "Fragmentación" Remoto: El atacante envía un alto volumen de solicitudes (aprox. 1 Gbps) a un servicio que se ejecuta en el objetivo (por ejemplo, un servidor de eco UDP), causando que el objetivo responda con paquetes fragmentados simultáneamente.
App Maliciosa Local: Un proceso de bajo privilegio en el dispositivo objetivo envía paquetes fragmentados rápidos al atacante.

La falta de bloqueo en el kernel permite que dos hilos lean el mismo estado interno $x$ , realicen diferentes números de pasos internos ( $n_A$ y $n_B$ ), y escriban de vuelta los nuevos estados. Esto resulta en una secuencia de salida específica: $X, Y, Z, Y$ , donde $Y$ es un valor duplicado separado por $Z$ .

2. Criptálisis Asistida por Condición de Carrera

Los autores introducen un nuevo método criptanalítico que explota la secuencia $XYZY$.

La Intuición: La secuencia implica relaciones matemáticas específicas entre los estados internos correspondientes a $X, Y$ y $Z$ . Específicamente, la probabilidad de que los estados internos de $X$ y $Z$ (o $Y$ y $Z$ ) difieran módulo 4 es significativamente mayor que la probabilidad aleatoria (aprox. 0.9 frente a 0.75).
El Ataque: El atacante recolecta un gran número de secuencias $XYZY$. Utilizando estas, realizan una criptálisis de cuatro fases para extraer las claves estáticas del PRNG ( $s_1, g, s_2, a, b$ $s_{1}, g, s_{2}, a, b$ ):
1. Extraer $s_1$ : Maximizando el número de desigualdades que se cumplen para las secuencias observadas a través de todos los valores posibles de $2^{31}$ para $s_1$ .
2. Extraer $g$ : Utilizando la $s_1$ conocida y las dependencias en los IDs de fragmentos consecutivos.
3. Extraer $s_2$ : Extendiendo la técnica de la fase 2.
4. Extraer $a, b$ : Resolviendo ecuaciones lineales basadas en los estados internos reconstruidos.
Sincronización: Una vez recuperadas las claves, el atacante sincroniza su simulador de PRNG local con el estado actual del objetivo (contabilizando la pérdida de paquetes) para predecir futuros IDs de fragmentos.

3. Suplantación Parcial de UDP/TCP

Con la capacidad de predecir los IDs de fragmentos, el atacante puede realizar una suplantación parcial.

Caso NFS (UDP): Los autores apuntan a llamadas NFS WRITE sobre UDP con autenticación Kerberos (RPCSEC GSS). La firma de autenticación cubre el encabezado RPC (contenido en el 1er fragmento) pero no la carga útil del archivo (contenido en los fragmentos subsiguientes). Al predecir el ID de fragmento, el atacante puede falsificar el 2do fragmento (que contiene el contenido malicioso del archivo) mientras deja el 1er fragmento (que contiene la autenticación válida) intacto. El atacante también ajusta el checksum de UDP para asegurar que el paquete sea aceptado.
Caso HTTP (TCP): La técnica se aplica a segmentos TCP para modificar solicitudes HTTP POST, inyectando contenido diseñado por el atacante.

Principales Contribuciones

Primera Criptálisis Asistida por Condición de Carrera: El artículo presenta el primer ataque conocido que depende de desencadenar una condición de carrera para romper una primitiva criptográfica (PRNG).
Ruptura del PRNG de XNU: Un ataque práctico contra el algoritmo de generación de ID de fragmentación IPv6 de XNU, que permite la extracción completa del estado interno y la predicción de salidas futuras.
Evasión de Autenticación: Una demostración de la evasión de la autenticación Kerberos en NFS mediante la explotación de la fragmentación, específicamente modificando los contenidos de archivos durante la transferencia sin credenciales válidas.
Suplantación de Segmentos TCP: Aplicación exitosa de la técnica para suplantar segmentos TCP, modificando solicitudes HTTP.

Resultados Experimentales

Los autores validaron el ataque en varios entornos de hardware (Intel x64, Apple M1/M2 ARM64) y versiones de macOS (desde Catalina hasta Sonoma).

Éxito de la Criptálisis: En los experimentos, el ataque extrajo con éxito el estado del PRNG. La métrica estadística $z$ (distancia de la expectativa aleatoria) osciló entre 8.7 y 15.5, muy por encima del umbral requerido de 7, confirmando la validez del análisis de patrones $XYZY$.
Ejecución del Ataque: Los autores lograron inyectar contenido malicioso en archivos en un servidor NFS. En 10 pruebas, el ataque tuvo éxito en todas las ocasiones, modificando un archivo de cabecera (random.h) con código trojanizado.
Tiempo: La fase de criptálisis tomó entre 3 y 8 minutos en una VM potente de Azure (48 núcleos). Aunque esto es más lento que el intervalo de resembrado de 180 segundos del PRNG, los autores señalan que, con hardware más rápido (aceleración de 6-8x), un ataque en tiempo real es factible. También demostraron la validez del ataque extendiendo el tiempo de espera de resembrado mediante un módulo del kernel para permitir la ejecución en tiempo real en un entorno controlado.

Significado y Reivindicaciones

El artículo afirma que abre una nueva puerta en la criptálisis al demostrar que las condiciones de carrera, a menudo vistas como errores de rendimiento, pueden tener implicaciones criptográficas graves.

Novedad: Es el primer ataque que utiliza condiciones de carrera como vector primario para la criptálisis.
Severidad: La vulnerabilidad permite a atacantes fuera de la red (off-path) evadir mecanismos de autenticación fuertes (Kerberos) y modificar datos en tránsito, una capacidad que anteriormente se creía requería una posición de Hombre en el Medio (MITM) o criptografía débil.
Causa Raíz: Los autores destacan que la vulnerabilidad (introducida en 2012) persistió durante más de una década porque las condiciones de carrera en los PRNG no causan fallos del sistema ni degradación del rendimiento, lo que las hace invisibles para las pruebas estándar y los reportes de usuarios.
Resolución: La vulnerabilidad fue divulgada a Apple el 28 de febrero de 2024, y se parcheó en todos los productos basados en XNU con el identificador CVE-2024-27823.

El artículo concluye que, si bien el PRNG específico de XNU puede no ser de "grado industrial", el concepto de criptálisis asistida por condiciones de carrera podría aplicarse potencialmente a algoritmos criptográficos más fuertes, sugiriendo una clase más amplia de vulnerabilidades en implementaciones criptográficas concurrentes.