💻 computer science

One (Thread) Can Keep a (PRNG) Secret, but not Two

Questo articolo presenta il primo attacco criptanalitico che sfrutta una race condition nel PRNG dell'IPv6 Fragment ID del kernel XNU per prevedere i numeri di sequenza e consentire lo spoofing off-path del traffico TCP e UDP, una vulnerabilità ora corretta da Apple come CVE-2024-27823.

Autori originali: Ehood Porat, Amit Klein, Benny Pinkas

Pubblicato 2026-06-03

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Ehood Porat, Amit Klein, Benny Pinkas

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di stare inviando una lettera grande e importante a un amico. Poiché la lettera è troppo grande per una singola busta, l'ufficio postale (la rete) la divide in pezzi più piccoli, ovvero dei frammenti. Per assicurarsi che i pezzi vengano rimessi insieme nel giusto ordine, a ogni pezzo viene assegnato un numero di biglietto unico (chiamato ID del frammento).

Il documento che hai chiesto descrive un modo ingegnoso in cui un hacker può indovinare questi numeri di biglietto in anticipo, permettendogli di sostituire un pezzo della tua lettera con uno falso senza che tu o il tuo amico ve ne accorgiate.

Ecco la scomposizione dell'attacco, spiegata in modo semplice:

1. La Macchina dei Biglietti Segreti (Il PRNG)

I computer Apple (macOS e iOS) utilizzano una speciale "macchina dei biglietti" all'interno del loro cervello (il kernel) per generare questi numeri di biglietto casuali. La macchina dovrebbe essere imprevedibile, come lanciare un dado. Se i numeri sono veramente casuali, nessuno può indovinare il prossimo biglietto.

Tuttavia, i ricercatori hanno trovato un difetto nel modo in cui questa macchina funziona quando è molto impegnata.

2. Il Problema "Due Persone, Una Macchina" (La Race Condition)

Immagina un bancone dei biglietti molto affollato dove due persone (due thread del computer) cercano di prendere un biglietto nello stesso identico millisecondo.

Normalmente: La macchina dà un biglietto alla Persona A, poi alla Persona B, un numero diverso.
Il Glitch: Poiché la macchina non è "thread-safe" (non ha un blocco per impedire a due persone di afferrare il biglietto contemporaneamente), entrambi potrebbero prendere lo stesso numero di partenza. Entrambi eseguono il calcolo, ma poiché sono partiti dallo stesso numero e hanno compiuto passi leggermente diversi, finiscono per produrre un modello strano.

Il Modello: I ricercatori hanno scoperto che, se si innesca questa "corsa" (race), la macchina produce una sequenza specifica di numeri che appare così: A, B, C, B.
Nota che B appare due volte, separato da C. Questo "B-C-B" è la prova schiacciante. Dice all'attaccante: "Ehi! La macchina ha appena subito una race condition! Ora posso vedere come girano gli ingranaggi interni della macchina".

3. Decifrare il Codice (Crittanalisi)

Una volta che l'attaccante vede abbastanza di questi modelli "B-C-B", può fare l'ingegneria inversa della macchina.

Pensa alla macchina come a una combinazione di una cassaforte. Il modello "B-C-B" fornisce all'attaccante un indizio sulla posizione attuale dei dischi all'interno della combinazione.
Raccogliendo abbastanza di questi indizi, l'attaccante può scoprire l'intero stato interno della macchina.
Una volta noto lo stato interno, può prevedere esattamente quali saranno i prossimi numeri di biglietto.

4. Lo Scambio (L'Attacco)

Ora che l'attaccante può prevedere i numeri dei biglietti, può eseguire un trucco "man-in-the-middle", ma senza trovarsi in mezzo.

Lo Scenario: Stai inviando un file grande (come un backup del tuo codice) a un server. Il file viene diviso in pezzi.
La Protezione: Il primo pezzo del file contiene la tua password e la tua firma (autenticazione). Il server controlla prima questo primo pezzo per verificare chi sei veramente.
Il Trucco: L'attaccante aspetta che arrivi il primo pezzo. Poi, usa la sua previsione per indovinare il numero del biglietto per il secondo pezzo. Invia rapidamente un secondo pezzo falso con un messaggio malevolo (come un virus o un file modificato) che ha il numero di biglietto corretto.
Il Risultato: Il server riceve il primo pezzo genuino (con la password valida) e il secondo pezzo falso (con il virus). Li mette insieme, pensa che tutto sia a posto, e salva il file infetto. L'attaccante ha aggirato il controllo di sicurezza perché il controllo è avvenuto solo sul primo pezzo.

Esempi del Mondo Reale dal Documento

I ricercatori hanno testato questo su due cose specifiche:

NFS (Network File System): Hanno dimostrato come un attaccante possa modificare un file che viene salvato su un server. Ad esempio, potrebbero iniettare un "Trojan horse" in un normale file di codice informatico. Quando uno sviluppatore compila successivamente quel codice, il virus viene eseguito.
HTTP (Navigazione Web): Hanno dimostrato come un attaccante possa modificare una richiesta web (come un login o l'invio di un modulo) mentre viaggia sulla rete.

Perché Questo è Importante

È Nuovo: Questa è la prima volta che qualcuno utilizza una "race condition" (un glitch di temporizzazione) per violare un generatore di numeri casuali. Di solito, le race condition causano solo crash; qui, sono state usate per rubare segreti.
È Pratico: L'attacco funziona su veri dispositivi Apple (chip M1, M2, Mac Intel) che eseguono varie versioni di macOS e iOS.
La Soluzione: Apple ha già corretto il problema. Hanno assegnato l'ID CVE-2024-27823. La correzione consiste nel rendere la macchina dei biglietti "thread-safe", in modo che due processi non possano afferrare il numero di partenza nello stesso momento.

In breve: Il documento mostra che se il generatore di numeri casuali di un computer si confonde a causa di due cose che accadono contemporaneamente, un hacker può usare quella confusione per prevedere il futuro, scambiare parti dei tuoi dati e far passare malware oltre i tuoi controlli di sicurezza.

Sintesi Tecnica: "Un (Thread) Può Mantenere un (PRNG) Segreto, ma non Due"

Problema

Il documento affronta una vulnerabilità critica nell'algoritmo di generazione dell'ID di frammentazione IPv6 nel kernel XNU, che alimenta i sistemi operativi macOS e iOS di Apple. Mentre i Generatori di Numeri Pseudo-Casuali (PRNG) sono essenziali per generare identificatori di rete imprevedibili (come ID di sessione e numeri di sequenza) per prevenire l'hijacking del traffico e lo spoofing, l'implementazione specifica in XNU è stata trovata suscettibile a race condition.

Il problema centrale è che il PRNG del kernel XNU, utilizzato per generare ID di frammentazione a 32 bit, manca di meccanismi di thread-safety (come il locking). Quando più thread invocano il PRNG concorrentemente, lo stato interno può essere letto e aggiornato in modo non atomico. Questa race condition permette a un attaccante di indurre valori di output duplicati nello stream degli ID di frammentazione. Il documento sostiene che questi duplicati non siano semplice rumore, ma contengano pattern distinguibili che rivelano lo stato interno del PRNG, consentendo a un attaccante di violare criptograficamente il generatore e prevedere i futuri ID di frammentazione.

Metodologia

Gli autori propongono un nuovo framework di attacco composto da tre primitive: innescare una race condition, eseguire la criptanalisi basata sui pattern risultanti ed eseguire un attacco di spoofing parziale.

1. Innescare la Race Condition

L'attacco richiede che un attaccante off-path induca una race condition nella funzione ip6 randomid() del kernel XNU. Ciò viene ottenuto forzando l'host macOS target a generare pacchetti IPv6 frammentati concorrentemente. Gli autori hanno dimostrato due metodi per ottenere ciò:

Servizio di "Frammentazione Remota": L'attaccante invia un alto volume di richieste (circa 1 Gbps) a un servizio in esecuzione sul target (ad esempio, un server UDP echo), causando la generazione simultanea di pacchetti frammentati da parte del target.
App Maliziosa Locale: Un processo a privilegi bassi sul dispositivo target invia rapidamente pacchetti frammentati all'attaccante.

La mancanza di locking nel kernel permette a due thread di leggere lo stesso stato interno $x$ , eseguire un numero diverso di passi interni ( $n_A$ e $n_B$ ) e scrivere nuovamente i nuovi stati. Ciò produce una specifica sequenza di output: $X, Y, Z, Y$ , dove $Y$ è un valore duplicato separato da $Z$ .

2. Criptanalisi assistita da Race-Condition

Gli autori introducono un nuovo metodo criptanalitico che sfrutta la sequenza $XYZY$.

L'Intuizione: La sequenza implica relazioni matematiche specifiche tra gli stati interni corrispondenti a $X, Y$ e $Z$ . Nello specifico, la probabilità che gli stati interni di $X$ e $Z$ (o $Y$ e $Z$ ) differiscano modulo 4 è significativamente più alta del caso casuale (circa 0.9 rispetto a 0.75).
L'Attacco: L'attaccante raccoglie un gran numero di sequenze $XYZY$. Utilizzando queste, esegue una criptanalisi in quattro fasi per estrarre le chiavi statiche del PRNG ( $s_1, g, s_2, a, b$ $s_{1}, g, s_{2}, a, b$ ):
1. Estrarre $s_1$ : Massimizzando il numero di disuguaglianze che valgono per le sequenze osservate attraverso tutti i $2^{31}$ valori di $s_1$ .
2. Estrarre $g$ : Utilizzando la $s_1$ nota e le dipendenze negli ID di frammentazione consecutivi.
3. Estrarre $s_2$ : Estendendo la tecnica dalla fase 2.
4. Estrarre $a, b$ : Risolvendo equazioni lineari basate sugli stati interni ricostruiti.
Sincronizzazione: Una volta recuperate le chiavi, l'attaccante sincronizza il proprio simulatore locale del PRNG con lo stato corrente del target (tenendo conto della perdita di pacchetti) per prevedere i futuri ID di frammentazione.

3. Spoofing Parziale UDP/TCP

Con la capacità di prevedere gli ID di frammentazione, l'attaccante può eseguire uno spoofing parziale.

Caso NFS (UDP): Gli autori prendono di mira le chiamate NFS WRITE su UDP con autenticazione Kerberos (RPCSEC GSS). La firma di autenticazione copre l'header RPC (contenuto nel 1° frammento) ma non il payload del file (contenuto nei frammenti successivi). Prevedendo l'ID di frammentazione, l'attaccante può forgiare il 2° frammento (che contiene il contenuto del file malevolo) lasciando intatto il 1° frammento (che contiene l'autenticazione valida). L'attaccante adatta anche il checksum UDP per garantire che il pacchetto venga accettato.
Caso HTTP (TCP): La tecnica viene applicata ai segmenti TCP per modificare le richieste HTTP POST, iniettando contenuti creati dall'attaccante.

Contributi Chiave

Prima Criptanalisi assistita da Race-Condition: Il documento presenta il primo attacco noto che utilizza una race condition come vettore primario per violare una primitiva crittografica (PRNG).
Violazione del PRNG di XNU: Un attacco pratico all'algoritmo di generazione dell'ID di frammentazione IPv6 di XNU, che consente la completa estrazione dello stato interno e la previsione degli output futuri.
Bypass dell'Autenticazione: Una dimostrazione del bypass dell'autenticazione Kerberos in NFS sfruttando la frammentazione, specificamente modificando i contenuti dei file durante il trasferimento senza credenziali valide.
Spoofing di Segmenti TCP: Applicazione riuscita della tecnica per fare lo spoofing di segmenti TCP, modificando le richieste HTTP.

Risultati Sperimentali

Gli autori hanno validato l'attacco su varie hardware (Intel x64, Apple M1/M2 ARM64) e versioni di macOS (da Catalina a Sonoma).

Successo della Criptanalisi: Negli esperimenti, l'attacco ha estratto con successo lo stato del PRNG. La metrica statistica $z$ (distanza dall'aspettativa casuale) variava da 8.7 a 15.5, ben al di sopra della soglia richiesta di 7, confermando la validità dell'analisi del pattern $XYZY$.
Esecuzione dell'Attacco: Gli autori hanno iniettato con successo contenuti malevoli in file su un server NFS. In 10 tentativi, l'attacco ha avuto successo ogni singola volta, modificando un file header (random.h) con codice trojanizzato.
Tempistiche: La fase di criptanalisi ha richiesto tra i 3 e gli 8 minuti su una potente VM di Azure (48 core). Sebbene sia più lento dell'intervallo di reseed del PRNG di 180 secondi, gli autori notano che con hardware più veloce (accelerazione di 6-8x), un attacco in tempo reale è fattibile. Hanno anche dimostrato la validità dell'attacco estendendo il timeout di reseed tramite un modulo kernel per consentire l'esecuzione in tempo reale in un ambiente controllato.

Significato e Rivendicazioni

Il documento afferma di aprire una nuova porta nella criptanalisi, dimostrando che le race condition, spesso viste come bug di prestazione, possono avere gravi implicazioni crittografiche.

Novità: È il primo attacco che utilizza le race condition come vettore primario per la criptanalisi.
Gravità: La vulnerabilità consente ad attaccanti off-path di bypassare forti meccanismi di autenticazione (Kerberos) e modificare dati in transito, una capacità precedentemente ritenuta richiedere una posizione Man-in-the-Middle (MITM) o una crittografia debole.
Root Cause: Gli autori evidenziano che la vulnerabilità (introdotta nel 2012) è persistita per oltre un decennio perché le race condition nei PRNG non causano crash di sistema o degradazione delle prestazioni, rendendole invisibili ai test standard e ai report degli utenti.
Risoluzione: La vulnerabilità è stata comunicata ad Apple il 28 febbraio 2024, ed è stata corretta in tutti i prodotti basati su XNU con l'identificativo CVE-2024-27823.

Il documento conclude che, sebbene il particolare PRNG di XNU possa non essere di "grado industriale", il concetto di criptanalisi assistita da race-condition potrebbe potenzialmente applicarsi ad algoritmi crittografici più forti, suggerendo una classe più ampia di vulnerabilità nelle implementazioni crittografiche concorrenti.