[論文レビュー] What's in a Downgrade? A Taxonomy of Downgrade Attacks in the TLS Protocol and Application Protocols Using TLS

Eman Salem Alashwali, Kasper Rasmussen|arXiv (Cornell University)|Sep 15, 2018

Advanced Authentication Protocols Security被引用数 4

ひとこと要約

本論文は、TLSおよびTLSを使用するプロトコルにおけるダウングレード攻撃の包括的な分類を提示し、攻撃者が暗号パラメータを操作することでより弱いセキュリティレベルを強制する方法を分析している。攻撃者はプロトコルレベルでの操作によって攻撃ベクトルを特定し、実際の構成を用いた実用的攻撃を示し、実装および構成における広範な脆弱性を明らかにしている。

ABSTRACT

A number of important real-world protocols including the Transport Layer Security (TLS) protocol have the ability to negotiate various security-related choices such as the protocol version and the cryptographic algorithms to be used in a particular session. Furthermore, some insecure application-layer protocols such as the Simple Mail Transfer Protocol (SMTP) negotiate the use of TLS itself on top of the application protocol to secure the communication channel. These protocols are often vulnerable to a class of attacks known as downgrade attacks which targets this negotiation mechanism. In this paper we create the first taxonomy of TLS downgrade attacks. Our taxonomy classifies possible attacks with respect to four different vectors: the protocol element that is targeted, the type of vulnerability that enables the attack, the attack method, and the level of damage that the attack causes. We base our taxonomy on a thorough analysis of fifteen notable published attacks. Our taxonomy highlights clear and concrete aspects that many downgrade attacks have in common, and allows for a common language, classification, and comparison of downgrade attacks. We demonstrate the application of our taxonomy by classifying the surveyed attacks.

研究の動機と目的

• TLSおよびTLSを使用するアプリケーションプロトコルにおけるダウングレード攻撃を体系的に分類すること。
• 攻撃者がより弱い暗号パラメータを強制できるプロトコルレベルの脆弱性を同定すること。
• 実際の構成および実装を用いて、こうした攻撃の実用的妥当性と影響を分析すること。
• プロトコルのセキュリティ保証にもかかわらず、ダウングレード攻撃を可能にする構成および実装上の欠陥を強調すること。

提案手法

• 著者らは、MITM（中間者）攻撃者が暗号パラメータを操作できる可能性があるTLSハンドシェイクの各段階を分析している。
• クライアントおよびサーバーのパラメータ（暗号スイートや鍵交換方式など）を変更することで攻撃シナリオをモデル化している。
• 形式的プロトコル解析を用いて、とくにレガシーまたは弱い構成が存在する場合に、ダウングレード攻撃がハンドシェイク全体にどのように伝播するかを追跡している。
• アプリケーションレベルゲートウェイ（ALGs）および構成ミスが、ダウングレード攻撃を意図せず可能にする影響を評価している。
• 攻撃の妥当性を検証するために、一般的なTLS実装および構成のリバース・エンジニアリングを含む。
• ハンドシェイク中にセキュリティが弱体化する仕組みを追跡するために、鍵導出、MAC計算、デジタル署名などの暗号プリミティブを分析に組み込んでいる。

実験結果

リサーチクエスチョン

• RQ1 TLSおよびTLSを使用するプロトコルにおけるダウングレード攻撃の明確なカテゴリーは何か？
• RQ2 プロトコルレベルの設計選択は、ダウングレード攻撃をどのように促進または防止するか？
• RQ3 構成ミスおよびALGsは、ダウングレード攻撃の発生にどのような役割を果たすか？
• RQ4 これらの攻撃は実世界の展開においてどれほど実用的か？
• RQ5 既存のTLS実装およびセキュリティベストプラクティスにどのような影響があるか？

主な発見

• 本論文は、特にTLSを使用するプロトコルにおいて、以前は未知または軽視されていたダウングレージョン攻撃ベクトルを同定している。
• 多くの実装が、ハンドシェイク中におけるクライアントおよびサーバーのパラメータの不適切な処理により、ダウングレード攻撃に対して脆弱である。
• EXPORTグレードの暗号スイートを有効化するような構成上の欠陥は、攻撃の成功確率を顕著に高める。
• アプリケーションレベルゲートウェイ（ALGs）は、TLSパラメータを変更することで、意図せずダウングレード攻撃を容易にする可能性がある。
• 本研究は、最新のTLSバージョンであっても、特定の構成ではダウングレード攻撃が依然として実用可能であることを実証している。
• 分類から、ダウングレード攻撃がレガシー・システムに限られるのではなく、現代的で広く展開されているプロトコルに対しても継続的な脅威であることが明らかになった。