DROWN : Decrypting RSA with Obsolete and Weakened eNcryption
Sécurité
DROWN : Decrypting RSA with Obsolete and Weakened eNcryption. « Déchiffrer RSA grâce à un chiffrement obsolète et affaibli », par analogie avec la porte de service condamnée sur les plans mais jamais murée, qui donne sur le même couloir que l'entrée principale.
Le principe : Attaque inter-protocoles publiée en 2016 : un serveur qui accepte encore SSLv2 sert d'oracle de type Bleichenbacher pour déchiffrer des sessions TLS modernes utilisant l'échange de clés RSA. Le vieux protocole trahit le jeune, ce qui est une forme de transmission entre générations.
Le piège du partage de clé : Le serveur TLS visé n'a pas besoin de parler SSLv2 lui-même : il suffit qu'une autre machine, souvent un serveur de messagerie oublié, utilise la même clé privée RSA avec SSLv2 activé.
Ce qui est exposé : L'attaquant enregistre des sessions TLS dont l'échange de clés repose sur le chiffrement RSA, puis interroge l'oracle pour en récupérer le secret. Les échanges Diffie-Hellman éphémères ne sont pas concernés par ce déchiffrement.
Remèdes : Désactiver SSLv2 partout, ne jamais réutiliser une clé privée entre services de niveaux de sécurité différents, préférer les échanges éphémères. TLS 1.3 a d'ailleurs supprimé l'échange de clés RSA.
Ce qui arrive si on s'en passe
Tant que SSLv2 reste activé sur une seule machine utilisant une clé privée RSA donnée, toutes les sessions TLS protégées par cette même clé avec un échange de clés RSA restent déchiffrables par un attaquant qui les a enregistrées. Le serveur principal peut être parfaitement configuré : l'exposition vient du service voisin oublié qui partage le certificat. Les échanges capturés livrent alors leur contenu, identifiants et cookies de session compris. Désactiver SSLv2 partout, cesser de partager les clés entre services et privilégier les échanges de clés éphémères ferme cette voie ; ne pas le faire la laisse ouverte pour tout trafic passé comme futur.
Explication de la marmotte
Un site web protège ses conversations avec une clé secrète. Parfois, la même clé est aussi utilisée sur une autre machine plus ancienne, qui parle encore une vieille version du protocole de sécurité, pleine de défauts. Cette attaque consiste à poser des milliers de questions piégées à la vieille machine, et à utiliser ses réponses pour percer les conversations enregistrées sur le site moderne. C'est comme si une maison neuve avait la même serrure que le vieux garage d'à côté, dont la porte se laisse forcer : forcer le garage donne la clé de la maison.
Où ce terme est utilisé
- L'attaque de Bleichenbacher : un oracle de padding contre RSA PKCS#1 v1.5 (2 occurrences)
- Créer, vérifier et utiliser les clés dès le départ (1 occurrence)