A Note on the Influence of a Zero Length Nonce on GCM and GMAC
Questo articolo presenta un attacco semplice che recupera la chiave di hash di GCM e GMAC quando viene utilizzato un nonce a lunghezza zero, consentendo falsificazioni arbitrarie, una vulnerabilità specifica dello standard ISO/IEC che permette tali nonce ma non la versione NIST che impone una lunghezza minima.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina il mondo digitale come una città frenetica dove ogni messaggio inviato è come una lettera sigillata. Per mantenere queste lettere al sicuro, usiamo speciali serrature chiamate crittografia e, per assicurarci che nessuno le abbia manomesse, applichiamo un unico sigillo di cera chiamato "tag". Uno dei modi più popolari per farlo è un sistema chiamato GCM (Galois/Counter Mode). Pensa al GCM come a un ufficio postale hi-tech che non solo chiude la tua lettera, ma le appone anche un timbro con un'impronta digitale matematica. Questa impronta digitale viene creata usando una "chiave di hash" segreta, un numero speciale noto solo al mittente e al destinatario. Se l'impronta digitale corrisponde quando la lettera arriva, tutti sanno che è autentica. Se l'impronta digitale è errata, la lettera viene rifiutata. Questo sistema è usato ovunque, dal tuo Wi-Fi alla banca sicura, quindi mantenere al sicuro la chiave di hash segreta è cruciale. Se un malintenzionato rubasse quella chiave, potrebbe falsificare le proprie lettere, ingannando l'ufficio postale facendogli credere che siano reali.
Una recente nota del ricercatore Yaobin Shen esplora un loophole molto specifico e un po' insolito nel modo in cui questo sistema viene talvolta configurato. Il documento si concentra su un piccolo dettaglio: il "nonce". Nel mondo del GCM, il nonce è come un numero di serie unico o una password monouso che deve essere diverso per ogni singola lettera inviata. Assicura che anche se invii lo stesso messaggio due volte, la serratura e il sigillo appaiano completamente diversi. Il documento indaga cosa succede se qualcuno accidentalmente — o intenzionalmente — utilizza un "nonce a lunghezza zero", che è essenzialmente una scatola vuota senza nulla all'interno. Mentre alcuni manuali ufficiali per questo sistema (specificamente le versioni ISO/IEC) permettono questa scatola vuota, altri (come la versione NIST) lo proibiscono severamente, richiedendo almeno un minimo di dati. Il lavoro di Shen mostra che, se segui le regole che permettono la scatola vuota, un attaccante astuto può usare quella scatola vuota per rompere la matematica dietro il sigillo.
Il documento dimostra un trucco astuto in cui un attaccante, semplicemente osservando un messaggio criptato con questo nonce vuoto, può risolvere un complesso puzzle matematico per recuperare la chiave di hash segreta. È come se un ladro notasse che, quando chiudi una porta con una serratura vuota, la serratura scatta in un modo che rivela la forma della chiave maestra. Una volta che l'attaccante ha ottenuta questa chiave, può falsificare qualsiasi messaggio desideri. Può creare lettere false con sigilli perfetti che il sistema accetterà come reali. L'autore osserva che questo attacco funziona specificamente contro le versioni del sistema che permettono il nonce vuoto, ma fallisce completamente contro le versioni che richiedono un nonce non vuoto. Il documento non suggerisce solo che questo potrebbe accadere; fornisce un metodo chiaro e passo dopo passo che mostra esattamente come la matematica si rompe in questo scenario specifico, provando che la "scatola vuota" è una debolezza pericolosa in certe implementazioni.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.