💻 computer science

One (Thread) Can Keep a (PRNG) Secret, but not Two

Dit artikel presenteert de eerste cryptanalytische aanval die een race condition exploiteert in de IPv6 Fragment ID PRNG van de XNU-kernel om sequentienummers te voorspellen en off-path spoofing van TCP- en UDP-verkeer mogelijk te maken, een kwetsbaarheid die inmiddels door Apple is gepatcht als CVE-2024-27823.

Oorspronkelijke auteurs: Ehood Porat, Amit Klein, Benny Pinkas

Gepubliceerd 2026-06-03

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Ehood Porat, Amit Klein, Benny Pinkas

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een grote, belangrijke brief naar een vriend stuurt. Omdat de brief te groot is voor één enkele envelop, hakt de post (het netwerk) hem in kleinere stukjes, oftewel fragmenten. Om ervoor te zorgen dat de stukjes in de juiste volgorde weer aan elkaar worden geplakt, krijgt elk stukje een uniek ticketnummer (een Fragment ID).

Het papier waar je naar vroeg, beschrijft een slimme manier waarop een hacker deze ticketnummers vooraf kan raden, waardoor hij een stukje van je brief kan vervangen door een nepversie zonder dat jij of je vriend het merkt.

Hier is de uitsplitsing van de aanval, eenvoudig uitgelegd:

1. De Geheime Ticketmachine (De PRNG)

Apple's computers (macOS en iOS) gebruiken een speciale "ticketmachine" in hun brein (de kernel) om deze willekeurige ticketnummers te genereren. De machine is bedo nodig onvoorspelbaar te zijn, zoals het gooien van een dobbelsteen. Als de nummers echt willekeurig zijn, kan niemand het volgende ticket raden.

Echter, de onderzoekers ontdekten een fout in hoe deze machine werkt wanneer deze druk is.

2. Het "Twee Personen, Eén Machine"-probleem (De Race Condition)

Stel je een drukke ticketbalie voor waar twee mensen (twee computerthreads) proberen op exact hetzelfde milliseconde een ticket te pakken.

Normaal gesproken: De machine geeft Persoon A een ticket, en daarna Persoon B een ander nummer.
De Glitch: Omdat de machine niet "thread-safe" is (hij heeft geen slot om te voorkomen dat mensen tegelijkertijd iets pakken), pakken beide mensen misschien hetzelfde startnummer. Ze voeren beide de berekening uit, maar omdat ze met hetzelfde nummer begonnen en net iets andere stappen namen, produceren ze een vreemd patroon.

Het Patroon: De onderzoekers ontdekten dat als je deze "race" triggert, de machine een specifieke reeks getallen produceert die er zo uitziet: A, B, C, B.
Merk op dat B twee keer voorkomt, gescheiden door C. Dit "B-C-B"-patroon is het bewijs (de smoking gun). Het vertelt de aanvaller: "Hé! De machine heeft zojuist een race condition gehad! Ik kan nu zien hoe de interne tandwielen van de machine draaien."

3. De Code Kraken (Cryptanalysis)

Zodra een aanvaller genoeg van deze "B-C-B"-patronen ziet, kan hij de machine terugbrengen naar zijn basis (reverse-engineer).

Denk aan de machine als een cijferslot. Het "B-C-B"-patroon geeft de aanvaller een aanwijzing over de huidige positie van de schijven binnen het slot.
Door genoeg van deze aanwijzingen te verzamelen, kan de aanvaller de volledige interne staat van de machine achterhalen.
Zodra de aanvaller de interne staat kent, kan hij precies voorspellen wat de volgende ticketnummers zullen zijn.

4. De Wissel (De Aanval)

Nu de aanvaller de ticketnummers kan voorspellen, kan hij een "man-in-the-middle"-truc uitvoeren, maar dan zonder daadwerkelijk tussenin te zitten.

Het Scenario: Je bent een groot bestand aan het versturen (zoals een back-up van je code) naar een server. Het bestand wordt in stukjes gehakt.
De Bescherming: Het eerste stukje van het bestand bevat je wachtwoord en handtekening (authenticatie). De server controleert dit eerste stukje eerst om te controleren of je echt bent wie je zegt dat je bent.
De Truc: De aanvaller wacht tot het eerste stukje arriveert. Vervolgens gebruikt de aanvaller de voorspelling om het ticketnummer voor het tweede stukje te raden. Hij stuurt snel een nep tweede stukje met een kwaadaardige boodschap (zoals een virus of een gewijzigd bestand) dat het juiste ticketnummer heeft.
Het Resultaat: De server ontvangt het echte eerste stukje (met het geldige wachtwoord) en het nep tweede stukje (met het virus). De server plakt ze aan elkaar, denkt dat alles in orde is, en slaat het geïnfecteerde bestand op. De aanvaller heeft de beveiligingscontrole omzeild omdat de controle alleen op het eerste stukje plaatsvond.

Praktijkvoorbeelden uit het onderzoek

De onderzoekers hebben dit getest op twee specifieke zaken:

NFS (Network File System): Ze lieten zien hoe een aanvaller een bestand kan veranderen dat naar een server wordt gebackupt. Bijvoorbeeld: een aanvaller kan een "Trojaans paard" injecteren in een standaard computercodebestand. Wanneer een ontwikkelaar die code later compileert, wordt het virus uitgevoerd.
HTTP (Web Browsen): Ze lieten zien hoe een aanvaller een webverzoek (zoals een login of het verzenden van een formulier) kan veranderen terwijl dit over het netwerk reist.

Waarom dit belangrijk is

Het is Nieuw: Dit is de eerste keer dat iemand een "race condition" (een timing-glitch) heeft gebruikt om een willekeurige getallengenerator te breken. Normaal gesproken veroorzaken race conditions alleen crashes; hier werden ze gebruikt om geheimen te stelen.
Het is Praktisch: De aanval werkt op echte Apple-apparaten (M1, M2 chips, Intel Macs) die verschillende versies van macOS en iOS draaien.
De Oplossing: Apple heeft dit inmiddels gepatcht. Ze hebben het de ID CVE-2024-27823 gegeven. De oplossing houdt in dat de ticketmachine "thread-safe" wordt gemaakt, zodat twee mensen niet tegelijkertijd het startnummer kunnen pakken.

Kortom: Het artikel laat zien dat als de willekeurige getallengenerator van een computer in de war raakt door twee dingen die tegelijkertijd gebeuren, een hacker die verwarring kan gebruiken om de toekomst te voorspellen, onderdelen van je gegevens te vervangen en malware langs je beveiliging te smokkelen.

Technische Samenvatting: "Eén (Thread) kan een (PRNG) geheim houden, maar niet twee"

Probleemstelling

Het artikel behandelt een kritieke kwetsbaarheid in het IPv6 Fragment ID-generatiealgoritme binnen de XNU-kernel, die de besturingssystemen van Apple (macOS en iOS) aandrijft. Hoewel Pseudo-Random Number Generators (PRNG's) essentieel zijn voor het genereren van onvoorspelbare netwerkidentificatoren (zoals sessie-ID's en volgnummers) om verkeerskaping en spoofing te voorkomen, bleek de specifieke implementatie in XNU vatbaar voor race conditions.

Het kernprobleid is dat de XNU-kernel PRNG, gebruikt voor het genereren van 32-bits fragment-ID's, geen thread-veiligheidsmechanismen (zoals locking) bezit. Wanneer meerdere threads de PRNG gelijktijdig aanroepen, kan de interne staat op een niet-atomaire wijze worden uitgelezen en bijgewerkt. Deze race condition stelt een aanvaller in staat om dubbele outputwaarden te induceren in de fragment-ID-stroom. Het artikel stelt dat deze duplicaten niet louter ruis zijn, maar onderscheidbare patronen bevatten die de interne staat van de PRNG onthullen, waardoor een aanvaller de generator cryptanalytisch kan breken en toekomstige fragment-ID's kan voorspellen.

Methodologie

De auteurs stellen een nieuw attack framework voor dat uit drie primitieven bestaat: het triggeren van een race condition, het uitvoeren van cryptanalyse op basis van de resulterende patronen, en het uitvoeren van een gedeeltelijke spoofing-aanval.

1. Het triggeren van de Race Condition

De aanval vereist een off-path aanvaller om een race condition te induceren in de ip6 randomid() functie van de XNU-kernel. Dit wordt bereikt door de doelwit macOS-host te dwingen om gelijktijdig gefragmenteerde IPv6-pakketten te genereren. De auteurs hebben twee methoden aangetoond om dit te bereiken:

Remote "Fragmentation Service": De aanvaller stuurt een hoog volume aan verzoeken (ongeveer 1 Gbps) naar een dienst die op de doelwit draait (bijv. een UDP echo server), waardoor de doelwit tegelijkertijd reageert met gefragmenteerde pakketten.
Lokale kwaadaardige app: Een proces met lage privileges op het doelapparaat stuurt snel gefragmenteerde pakketten naar de aanvaller.

Het gebrek aan locking in de kernel staat twee threads toe om dezelfde interne staat $x$ uit te lezen, verschillende aantallen interne stappen ( $n_A$ en $n_B$ ) uit te voeren, en de nieuwe staten terug te schrijven. Dit resulteert in een specifieke outputsequentie: $X, Y, Z, Y$ , waarbij $Y$ een duplicate waarde is gescheiden door $Z$ .

2. Race-Condition Aided Cryptanalysis

De auteurs introduceren een nieuwe cryptanalytische methode die de $XYZY$-sequentie exploiteert.

Het Inzicht: De sequentie impliceert specifieke wiskundige relaties tussen de interne staten die overeenkomen met $X, Y,$ en $Z$ . Specifiek is de kans dat de interne staten van $X$ en $Z$ (of $Y$ en $Z$ ) modulo 4 verschillen aanzienlijk hoger dan bij toeval (ongeveer 0,9 versus 0,75).
De Aanval: De aanvaller verzamelt een groot aantal $XYZY$-sequenties. Met behulp hiervan voeren zij een vierfasen-cryptanalyse uit om de statische sleutels van de PRNG ( $s_1, g, s_2, a, b$ $s_{1}, g, s_{2}, a, b$ ) te extraheren:
1. Extraheer $s_1$ : Door het maximaliseren van het aantal ongelijkheden dat standhoudt voor de geobserveerde sequenties over alle mogelijke $2^{31}$ waarden van $s_1$ .
2. Extraheer $g$ : Gebruikmakend van de bekende $s_1$ en afhankelijkheden in opeenvolgende fragment-ID's.
3. Extraheer $s_2$ : Het uitbreiden van de techniek uit fase 2.
4. Extraheer $a, b$ : Het oplossen van lineaire vergelijkingen op basis van de gereconstrueerde interne staten.
Synchronisatie: Zodra de sleutels zijn hersteld, synchroniseert de aanvaller een lokale PRNG-simulator met de huidige staat van het doelwit (rekening houdend met pakketverlies) om toekomstige fragment-ID's te voorspellen.

3. Gedeeltelijke UDP/TCP Spoofing

Met de mogelijkheid om fragment-ID's te voorspellen, kan de aanvaller gedeeltelijke spoofing uitvoeren.

NFS (UDP) Geval: De auteurs richten zich op NFS WRITE-aanroepen over UDP met Kerberos-authenticatie (RPCSEC GSS). De authenticatiesignatuur dekt de RPC-header (bevat in het 1ste fragment) maar niet de bestandspayload (bevat in daaropvolgende fragmenten). Door de fragment-ID te voorspellen, kan de aanvaller het 2de fragment (bevat kwaadaardige bestandinhoud) vervalsen terwijl het 1ste fragment (bevat geldige authenticatie) ongewijzigd blijft. De aanvaller past ook de UDP-checksum aan om ervoor te zorgen dat het pakket wordt geaccepteerd.
HTTP (TCP) Geval: De techniek wordt toegepast op TCP-segmenten om HTTP POST-verzoeken te modificeren, waarbij inhoud door de aanvaller geïnjecteerd wordt.

Belangrijkste Bijdragen

Eerste Race-Condition Aided Cryptanalysis: Het artikel presenteert de eerste bekende cryptanalytische aanval die berust op het triggeren van een race condition om een cryptografische primitief (PRNG) te breken.
XNU PRNG Break: Een praktische aanval op het IPv6 fragment-ID generatiealgoritme van XNU, waardoor volledige extractie van de interne staat en voorspelling van toekomstige outputs mogelijk is.
Authenticatie Bypass: Een demonstratie van het omzeilen van Kerberos-authenticatie in NFS door fragmentatie te exploiteren, specif으로 het modificeren van bestandinhoud tijdens transport zonder geldige credentials.
TCP Segment Spoofing: Succesvolle toepassing van de techniek om TCP-segmenten te spoofen, waarbij HTTP-verzoeken worden gemodificeerd.

Experimentele Resultaten

De auteurs hebben de aanval gevalideerd op diverse hardware (Intel x64, Apple M1/M2 ARM64) en macOS-versies (van Catalina tot Sonoma).

Succes van Cryptanalyse: In experimenten slaagde de aanval erin de PRNG-staat te extraheren. De statistische metriek $z$ (afstand van de willekeurige verwachting) varieerde van 8,7 tot 15,5, ruim boven de vereiste drempel van 7, wat de geldigheid van de $XYZY$-patroonanalyse bevestigt.
Uitvoering van de Aanval: De auteurs slaagden er succesvol in om kwaadaardige inhoud in bestanden op een NFS-server te injecteren. In 10 proeven slaagde de aanval elke keer, waarbij een headerbestand (random.h) werd gewijzigd met getrojaniseerde code.
Timing: De cryptanalysefase duurde tussen de 3 en 8 minuten op een krachtige Azure VM (48 cores). Hoewel dit trager is dan het 180-seconden PRNG-reseeding interval, merken de auteurs op dat met snellere hardware (6-8x versnelling), een real-time aanval haalbaar is. Ze demonstreerden ook de geldigheid van de aanval door de reseeding-timeout te verlengen via een kernelmodule om real-time uitvoering in een gecontroleerde omgeving mogelijk te maken.

Betekenis en Claims

Het artikel claimt een nieuwe deur te hebben geopend in de cryptanalyse door aan te tonen dat race conditions, vaak gezien als prestatiebugs, ernstige cryptografische implicaties kunnen hebben.

Nieuwigheid: Het is de eerste aanval die race conditions als primaire vector voor cryptanalyse gebruikt.
Ernst: De kwetsbaarheid stelt off-path aanvallers in staat om sterke authenticatiemechanismen (Kerberos) te omzeilen en gegevens in transit te wijzigen, een capaciteit die voorheen werd geacht een Man-in-the-Middle (MITM) positie of zwakke cryptografie te vereisen.
Grondoorzaak: De auteurs benadrukken dat de kwetsbaarheid (geïntroduceerd in 2012) meer dan een decennium heeft voortgeduurd omdat race conditions in PRNG's geen systeemcrashes of prestatievermindering veroorzaken, waardoor ze onzichtbaar zijn voor standaard testen en gebruikersrapportages.
Resolutie: De kwetsbaarheid is op 28 februari 2024 aan Apple gemeld en is gepatcht in alle XNU-gebaseerde producten met de identifier CVE-2024-27823.

Het artikel concludeert dat hoewel de specifieke XNU PRNG misschien niet "industrieel sterk" is, het concept van race-condition-aided cryptanalysis potentieel van toepassing kan zijn op sterkere cryptografische algoritmen, wat wijst op een bredere klasse van kwetsbaarheden in concurrente cryptografische implementaties.