💻 computer science

One (Thread) Can Keep a (PRNG) Secret, but not Two

Este artigo apresenta o primeiro ataque criptanalítico explorando uma condição de corrida no PRNG do IPv6 Fragment ID do kernel XNU para prever números de sequência e permitir o spoofing off-path de tráfego TCP e UDP, uma vulnerabilidade agora corrigida pela Apple como CVE-2024-27823.

Autores originais: Ehood Porat, Amit Klein, Benny Pinkas

Publicado 2026-06-03

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Ehood Porat, Amit Klein, Benny Pinkas

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está enviando uma carta grande e importante para um amigo. Como a carta é grande demais para um único envelope, o correio (a rede) a divide em pedaços menores, ou fragmentos. Para garantir que as peças sejam colocadas de volta na ordem correta, cada pedaço recebe um número de ticket único (chamado de ID de Fragmento).

O artigo que você pediu descreve uma maneira inteligente pela qual um hacker pode adivinhar esses números de ticket antecipadamente, permitindo que ele substitua uma parte da sua carta por uma falsa sem que você ou seu amigo percebam.

Aqui está a divisão do ataque, explicada de forma simples:

1. A Máquina de Tickets Secreta (O PRNG)

Os computadores da Apple (macOS e iOS) usam uma "máquina de tickets" especial dentro de seu cérebro (o kernel) para gerar esses números de ticket aleatórios. A máquina deveria ser imprevisível, como lançar um dado. Se os números forem verdadeiramente aleatórios, ninguém consegue adivinhar o próximo ticket.

No entanto, os pesquisadores encontraram uma falha na forma como essa máquina funciona quando está ocupada.

2. O Problema "Duas Pessoas, Uma Máquina" (A Condição de Corrida/Race Condition)

Imagine um balcão de tickets movimentado onde duas pessoas (duas threads de computador) tentam pegar um ticket exatamente no mesmo milissegundo.

Normalmente: A máquina dá um ticket para a Pessoa A, depois um ticket diferente para a Pessoa B.
A Falha: Como a máquina não é "segura para threads" (ela não possui um bloqueio para impedir que as pessoas peguem ao mesmo tempo), ambas podem pegar o mesmo número inicial. Elas executam o cálculo, mas como começaram com o mesmo número e deram passos ligeiramente diferentes, acabam produzindo um padrão estranho.

O Padrão: Os pesquisadores descobriram que, se você acionar essa "corrida", a máquina produz uma sequência específica de números que é assim: A, B, C, B.
Observe que o B aparece duas vezes, separado pelo C. Esse "B-C-B" é a prova do crime. Isso diz ao atacante: "Ei! A máquina acabou de sofrer uma condição de corrida! Agora eu posso ver como as engrenagens internas da máquina estão girando."

3. Quebrando o Código (Criptoanálise)

Uma vez que o atacante vê suficientes padrões "B-C-B", ele pode fazer a engenharia reversa da máquina.

Pense na máquina como um cadeado de combinação. O padrão "B-C-B" dá ao atacante uma pista sobre a posição atual dos discos dentro do cadeado.
Ao coletar pistas suficientes, o atacante pode descobrir o estado interno completo da máquina.
Uma vez que ele conhece o estado interno, ele pode prever exatamente quais serão os próximos números de ticket.

4. A Substituição (O Ataque)

Agora que o atacante pode prever os números de ticket, ele pode realizar um truque de "man-in-the-middle" (homem no meio), mas sem estar fisicamente no meio.

O Cenário: Você está enviando um arquivo grande (como um backup do seu código) para um servidor. O arquivo é dividido em partes.
A Proteção: A primeira parte do arquivo contém sua senha e assinatura (autenticação). O servidor verifica essa primeira parte primeiro para garantir que você é quem diz ser.
O Truque: O atacante espera a primeira parte chegar. Então, ele usa a previsão para adivinhar o número de ticket da segunda parte. Ele rapidamente envia uma segunda parte falsa com uma mensagem maliciosa (como um vírus ou um arquivo alterado) que possui o número de ticket correto.
O Resultado: O servidor recebe a primeira parte genuína (com a senha válida) e a segunda parte falsa (com o vírus). Ele junta as duas, pensa que está tudo bem e salva o arquivo infectado. O atacante burlou a verificação de segurança porque a verificação só ocorreu na primeira parte.

Exemplos do Mundo Real do Artigo

Os pesquisadores testaram isso em duas coisas específicas:

NFS (Network File System): Eles mostraram como um atacante poderia alterar um arquivo sendo enviado para um backup em um servidor. Por exemplo, eles poderiam injetar um "Cavalo de Troia" em um arquivo de código de computador padrão. Quando um desenvolvedor compila esse código posteriormente, o vírus é executado.
HTTP (Navegação Web): Eles mostraram como um atacante poderia alterar uma requisição web (como um login ou envio de formulário) enquanto ela viaja pela rede.

Por que Isso Importa

É Novo: Esta é a primeira vez que alguém usou uma "condição de corrida" (um erro de tempo/timing) para quebrar um gerador de números aleatórios. Normalmente, condições de corrida apenas causam travamentos; aqui, elas foram usadas para roubar segredos.
É Prático: O ataque funciona em dispositivos Apple reais (chips M1, M2, Macs Intel) rodando várias versões de macOS e iOS.
A Correção: A Apple já corrigiu isso. Eles atribuíram o ID CVE-2024-27823. A correção envolve tornar a máquina de tickets "segura para threads" (thread-safe), para que duas pessoas não possam pegar o número inicial ao mesmo tempo.

Em resumo: O artigo mostra que, se o gerador de números aleatórios de um computador ficar confuso devido a duas coisas acontecendo ao mesmo tempo, um hacker pode usar essa confusão para prever o futuro, substituir partes dos seus dados e introduzir malware passando pelas suas verificações de segurança.

Resumo Técnico: "Um (Thread) Pode Guardar um (PRNG) Segredo, mas não Dois"

Declaração do Problema

O artigo aborda uma vulnerabilidade crítica no algoritmo de geração de ID de fragmentação IPv6 no kernel XNU, que alimenta os sistemas operacionais macOS e iOS da Apple. Embora os Geradores de Números Pseudoaleatórios (PRNGs) sejam essenciais para gerar identificadores de rede imprevisíveis (como IDs de sessão e números de sequência) para prevenir o sequestro de tráfego e spoofing, a implementação específica no XNU foi identificada como suscetível a condições de corrida (race conditions).

O problema central é que o PRNG do kernel XNU, usado para gerar IDs de fragmentação de 32 bits, carece de mecanismos de segurança de thread (como bloqueios/locking). Quando múltiplas threads invocam o PRNG concorrentemente, o estado interno pode ser lido e atualizado de maneira não atômica. Esta condição de corrida permite que um atacante induza valores de saída duplicados no fluxo de IDs de fragmentação. O artigo postula que esses duplicados não são meramente ruído, mas contêm padrões distinguíveis que revelam o estado interno do PRNG, permitindo que um atacante quebre criptograficamente o gerador e preveja futuros IDs de fragmentação.

Metodologia

Os autores propõem um novo framework de ataque consistindo em três primitivas: desencadear uma condição de corrida, realizar criptoanálise baseada nos padrões resultantes e executar um ataque de spoofing parcial.

1. Desencadeando a Condição de Corrida

O ataque requer que um atacante off-path induza uma condição de corrida na função ip6 randomid() do kernel XNU. Isso é alcançado forçando o host macOS alvo a gerar pacotes IPv6 fragmentados concorrentemente. Os autores demonstraram dois métodos para isso:

Serviço de Fragmentação Remoto: O atacante envia um alto volume de requisições (aprox. 1 Gbps) para um serviço rodando no alvo (ex: um servidor UDP echo), fazendo com que o alvo responda com pacotes fragmentados simultaneamente.
App Malicioso Local: Um processo de baixo privilégio no dispositivo alvo envia pacotes fragmentados rápidos para o atacante.

A falta de bloqueio no kernel permite que duas threads leiam o mesmo estado interno $x$ , realizem diferentes números de passos internos ( $n_A$ e $n_B$ ) e escrevam de volta novos estados. Isso resulta em uma sequência de saída específica: $X, Y, Z, Y$ , onde $Y$ é um valor duplicado separado por $Z$ .

2. Criptoanálise Auxiliada por Condição de Corrida

Os autores introduzem um novo método de criptoanálise que explora a sequência $XYZY$.

O Insight: A sequência implica relações matemáticas específicas entre os estados internos correspondentes a $X, Y$ e $Z$ . Especificamente, a probabilidade de que os estados internos de $X$ e $Z$ (ou $Y$ e $Z$ ) diferem módulo 4 é significativamente maior do que o acaso (aprox. 0.9 vs. 0.75).
O Ataque: O atacante coleta um grande número de sequências $XYZY$. Usando estas, eles realizam uma criptoanálise de quatro fases para extrair as chaves estáticas do PRNG ( $s_1, g, s_2, a, b$ $s_{1}, g, s_{2}, a, b$ ):
1. Extrair $s_1$ : Maximizando o número de desigualdades que se mantêm para as sequências observadas através de todos os valores de $2^{31}$ de $s_1$ .
2. Extrair $g$ : Usando o $s_1$ conhecido e dependências em IDs de fragmentação consecutivos.
3. Extrair $s_2$ : Estendendo a técnica da fase 2.
4. Extrair $a, b$ : Resolvendo equações lineares baseadas nos estados internos reconstruídos.
Sincronização: Uma vez que as chaves são recuperadas, o atacante sincroniza seu simulador de PRNG local com o estado atual do alvo (contabilizando a perda de pacotes) para prever futuros IDs de fragmentação.

3. Spoofing Parcial de UDP/TCP

Com a capacidade de prever IDs de fragmentação, o atacante pode realizar spoofing parcial.

Caso NFS (UDP): Os autores visam chamadas NFS WRITE sobre UDP com autenticação Kerberos (RPCSEC GSS). A assinatura de autenticação cobre o cabeçalho RPC (contido no 1º fragmento), mas não o payload do arquivo (contido nos fragmentos subsequentes). Ao prever o ID de fragmentação, o atacante pode forjar o 2º fragmento (contendo conteúdo de arquivo malicioso) enquanto deixa o 1º fragmento (contendo autenticação válida) intacto. O atacante também ajusta o checksum UDP para garantir que o pacote seja aceito.
Caso HTTP (TCP): A técnica é aplicada a segmentos TCP para modificar requisições HTTP POST, injetando conteúdo criado pelo atacante.

Principais Contribuições

Primeira Criptoanálise Auxiliada por Condição de Corrida: O artigo apresenta o primeiro método criptanalítico conhecido que depende do desencadeamento de uma condição de corrida para quebrar uma primitiva criptográfica (PRNG).
Quebra do PRNG do XNU: Um ataque prático ao algoritmo de geração de ID de fragmentação IPv6 do XNU, permitindo a extração total do estado interno e a previsão de saídas futuras.
Bypass de Autenticação: Uma demonstração de contorno da autenticação Kerberos em NFS ao explorar a fragmentação, especificamente modificando conteúdos de arquivos durante a transferência sem credenciais válidas.
Spoofing de Segmento TCP: Aplicação bem-sucedida da técnica para fazer spoofing de segmentos TCP, modificando requisições HTTP.

Resultados Experimentais

Os autores validaram o ataque em vários hardwares (Intel x64, Apple M1/M2 ARM64) e versões do macOS (de Catalina a Sonoma).

Sucesso da Criptoanálise: Em experimentos, o ataque extraiu com sucesso o estado do PRNG. A métrica estatística $z$ (distância da expectativa aleatória) variou de 8.7 a 15.5, bem acima do limiar requerido de 7, confirmando a validade da análise de padrão $XYZY$.
Execução do Ataque: Os autores conseguiram injetar conteúdo malicioso em arquivos em um servidor NFS. Em 10 tentativas, o ataque teve sucesso todas as vezes, modificando um arquivo de cabeçalho (random.h) com código trojanizado.
Tempo: A fase de criptoanálise levou entre 3 a 8 minutos em uma VM Azure poderosa (48 núcleos). Embora seja mais lento que o intervalo de reseed de 180 segundos do PRNG, os autores observam que, com hardware mais rápido (aceleração de 6-8x), um ataque em tempo real é viável. Eles também demonstraram a validade do ataque estendendo o timeout de reseed via um módulo de kernel para permitir a execução em tempo real em um ambiente controlado.

Significância e Alegações

O artigo afirma abrir uma nova porta na criptoanálise ao demonstrar que condições de corrida, frequentemente vistas como bugs de performance, podem ter implicações criptográficas severas.

Novidade: É o primeiro ataque que utiliza condições de corrida como um vetor primário para criptoanálise.
Severidade: A vulnerabilidade permite que atacantes off-path contornem mecanismos de autenticação fortes (Kerberos) e modifiquem dados em trânsito, uma capacidade anteriormente considerada necessária de um posicionamento Man-in-the-Middle (MITM) ou criptografia fraca.
Causa Raiz: Os autores destacam que a vulnerabilidade (introduzida em 2012) persistiu por mais de uma década porque condições de corrida em PRNGs não causam falhas no sistema ou degradação de performance, tornando-as invisíveis para testes padrão e relatórios de usuários.
Resolução: A vulnerabilidade foi divulgada à Apple em 28 de fevereiro de 2024, e corrigida em todos os produtos baseados em XNU com o identificador CVE-2024-27823.

O artigo conclui que, embora o PRNG específico do XNU possa não ser de "nível industrial", o conceito de criptoanálise auxiliada por condição de corrida pode potencialmente se aplicar a algoritmos criptográficos mais fortes, sugerindo uma classe mais ampla de vulnerabilidades em implementações criptográficas concorrentes.