книги хакеры / журнал хакер / 189_Optimized

Криптография под прицелом

Взлом

Криптография под прицелом

•переменное время, затрачиваемое на выполнение операции DES_P, зависящее от:

•4 бит переменной var первого раунда a*HW(var[1,1:4]) (6 бит ключа первого раунда участвуют в формировании 4 бит переменной var);

•всех остальных бит переменной var за исключением 4 бит первого раунда a*(∑ HW(var[:,1:32]));

•постоянное время Т;

•шумы измерений Δ(t).

Еще раз по поводу 6 бит ключа и 4 бит переменной var. Блок Фейстеля берет 32 бита регистра R и с помощью специальной перестановки E() получает 48 бит, которые затем складываются с 48 битами ключа. На первом раунде значение R нам известно, а ключ нет. Далее результат сложения разбивается (внимание!) на восемь блоков по 6 бит, и каждый набор из 6 бит подается на свою собственную таблицу Sbox. Каждая из восьми таблиц заменяет шесть входных бит четырьмя выходными битами, поэтому на выходе получается 32-битная переменная var, которая уже влияет на время работы шифра.

Если мы сгруппируем время работы всех операций шифрования, для которых расстояние Хемминга HW(var[1,1:4]) одинаковое, то среднее арифметическое времени работы будет сходиться к следующему значению:

μ(t) = μ(a*HW(var[1,1:4])) + μ(a*(∑ HW(var[:,1:32]))) + μ(Т) + μ(Δ(t)) = a*HW(var[1,1:4]) + μ(a*(∑ HW(var[:,1:32]))) + Т + μ(Δ(t)).

Так как мы берем одинаковые значения HW(var[1,1:4]) и разные значения ∑ HW(var[:,1:32]) (мы берем исходные тексты, где HW(var[1,1:4]) обязательно одинаковое, а остальные части нас не интересуют, поэтому суммы ∑ HW(var[:,1:32]) будут разные), то среднее арифметическое μ(a*(∑ HW(var[:,1:32])))будет сходиться к константе (если совсем точно, то μ(∑ HW(var[:,1:32])) без учета первых четырех бит должна сходиться к 254), точно так же, как в предыдущем примере сходилась величина μ(Δ(t))!

Первые четыре бита переменной var можно записать как var[1,1:4] = Sbox{E(R)[1,1:6] xor K[1,1:6]}, где

E(R)[1,1:6] — первые 6 бит регистра R после операции

E(); K[1,1:6] — первые 6 бит ключа; Sbox{} — таблица перестановки Sbox. Теперь заменим выражение для var[1,1:4]: μ(t) = a*HW(Sbox{E(R)[1,1:6] xor K[1,1:6]}) + μ(a*(∑ HW(var[:,1:32]))) + Т + μ(Δ(t)).

Значения μ(a*(∑ HW(var[:,1:32]))),

μ(Δ(t)) сходятся к своим средним арифметическим, когда они считаются для разных исходных текстов. Следовательно, при очень большом

HW(var[:,1:32]))) + Т + μ(Δ(t)) можно просто

заменить на const: μ(t) = a*HW(Sbox{E(R)[1,1:6] xor K[1,1:6]}) + const.

Чтобы найти ключ в этом выражении, нужно для каждого значения 6 бит ключа выбрать исходные тексты с одина-

ковым HW(Sbox{E(R)[1,1:6] xor K[1,1:6]}), усреднить их время выполнения и сравнить с моделью. Окончательный алгоритм поиска ключа запишем в виде псевдокода:

For each key = 0:63

For each i = 1:N

// Исходный текст

P = plaintext(i)

/* Левая и правая

части после начальной перестановки*/

[L, R] = IP(P)

hw_var [i] = HammingWeight(

Sbox1(E(R)[0:5] XOR key))

/* Расстояние Хемминга для первых

четырех бит переменной var*/

EndFor

/* Коэффициент корреляции между N

измеренными значениями времени и N

посчитанными значениями расстояния

Хемминга*/

pcc(key) = ComputePearsonCorrelation

(t, hw_var) EndFor

Этот алгоритм был реализован на С++ (полный исходный код будет ждать тебя на dvd.xakep.ru), и посчитанные коэффициенты корреляции показаны на рис. 8. Для расчета корреляции был использован миллион измерений. Комбинация битов ключа 000010=2 дает корреляцию в четыре раза выше, чем для любого другого значения, поэтому, скорее всего, эта комбинация битов является верной. Замечу, что мы ищем ключ первого раунда, который не равен изначальному ключу.

После того как были найдены первые 6 бит ключа, можно искать следующие, пока ключ не будет восстановлен полностью. Сбор значений времени может занимать от нескольких часов до нескольких недель в зависимости от системы. Анализ данных обычно происходит значительно быстрее — за несколько часов, хотя тоже зависит

от ситуации. Коммерческого ПО для атак по времени в открытом доступе нет, но ты всегда можешь воспользоваться моими исходниками.

ПРОДОЛЖЕНИЕ

СЛЕДУЕТ

н о й / н е и н т е р е с н о й , но без вводной части далеко не уйдешь. Ну а в последующих номерах журнала мы продолжим изучение аппаратных атак, разберем,

как воспользоваться потребленным питанием устройства, чтобы взломать шифр, и как восстановить ключ с помощью ошибок в вычислениях. Так что stay tuned, как говорят.

Взлом

WARNING

Внимание! Информация предоставлена исключительно с целью ознакомления! Ни авторы, ни редакция за твои действия ответственности не несут!

X-TOOLS

Дмитрий «D1g1» Евдокимов

Digital Security

@evdokimovds

ВООРУЖЕННЫЙANDROID

dSploit — это набор Android-инструментов для анализа сети и проведения пентеста с мобильного устройства на ОС Android. Согласись, очень удобно часть работы делать прямо с экрана своего смартфона!

Основной доступный функционал:

•сканирование Wi-Fi и крякинг ключей от распространенных роутеров;

•определение сервисов на цели;

•поиск известных уязвимостей по базе NVD;

•мультипротокольный login-крякер;

•сбор и отправка TCP- и UDP-пакетов;

•поддержка HTTPS/SSL (SSL Stripping + HTTPS →Redirection);

•MITM Realtime Network Stats;

•MITM Multi Protocol Password Sniffing;

•MITM HTTP/HTTPS Session Hijacking;

•MITM HTTP/HTTPS Hijacked Session File Persistance;

•MITM HTTP/HTTPS Realtime Manipulation.

По данным пунктам он превосходит своих как бесплатных, так и платных конкурентов: DroidSheep, NetSpoof и zAnti. При этом он может еще и запускать RouterPWN на роутере, делать traceroute, сканировать порты, также в процессе MITM можно заменять изображения, видео с YouTube и вставлять свой JavaScriptкод. Для всего этого тебе понадобится ARMустройство с ОС Android не ниже версии 2.3 с root-доступом и установленным BusyBox.

IOCTLTOOLSUITE

К теме фаззинга драйверов через IOCTLкоманды мы обращались не раз, но тема до сих пор жива и являет на свет новые инструменты. DIBF — Dynamic Ioctl Brute-Forcer (and fuzzers). Этот инструмент имеет две отличительные особенности, на которых и остановимся.

Во-первых, IOCTL-значения, которые драйвер принял, и их валидный размер сохраняются

вотдельный файл и могут быть использованы

вдальнейшем для глубокого анализа. По завершении каждой итерации фаззер выводит подробную статистику о том, сколько запросов было отправлено, сколько успешно дошло и так далее.

Во-вторых, DIBF состоит из трех dumbфаззеров:

• pure random fuzzer;

• sliding DWORD fuzzer;

• asynchronous fuzzer.

При этом можно их комбинировать и устанавливать временные лимиты на работу каждого. Также здорово, что данный инструмент можно использовать как доказательство наличия уязвимости. Можно с помощью него и hex-редакторов собрать интересующий запрос и отправить драйверу.

BALBUZARD

Balbuzard — это инструмент для анализа вредоносного ПО, извлечения интересных паттернов из этих файлов, таких как IP-адреса, URL, типичные строки EXE-файлов и известные заголовки файлов.

Идея инструмента очень проста: когда необходимо проанализировать вредоносный/подозрительный файл, во-первых, открываем его в hex-редакторе для просмотра типа файла. Затем пробегаемся и ищем интересные строчки, URL, IP-адреса, другие встроенные файлы и так далее. Это очень полезно для того, чтобы анализировать файл дальше.

Но когда файл достаточно большой, все это делать глазами очень затруднительно и ты можешь просмотреть важную и полезную информацию. Вот чтобы такого не было, автор и создал данный инструмент.

Особенности:

•поиск на основе регулярных выражений;

•набор готовых регулярок для IP-адресов, email-адресов, URL, типичных EXE-строк, общих заголовков файлов, различных строк вредоносного ПО;

•использование Yara-движка и правил при необходимости;

•CSV-вывод;

•batch-анализ множества файлов/папок;

•отсутствие сторонних зависимостей.

•Cisco CDP Spoofer.

Витоге мы можем атаковать SIP клиентов сети и Skinny. Для более подробного знакомства с ин-

струментом советую обратиться к презентации автора «VoIP Wars: Attack of the Cisco Phones» (goo.gl/ RTVWbd). Happy hacking Cisco :).

Автор: Jeremy Long

Система: Windows/ Linux

URL: https://github. com/jeremylong/ DependencyCheck

7

ПОВЕЛИТЕЛЬANDROID’ОВ

Если ты активно занимаешься безопасностью и исследованием устройств на базе Android, то наверняка у тебя не одно устройство, а целая коллекция от разных производителей с разными версиями и прочим. Проблема фрагментации версий Android всем известна. В общем, получаем неплохой зоопарк устройств. Естественно, в наличии должен быть хороший, большой USB hub, куда воткнуты девайсы. И вот с этим со всем надо работать.

Android Cluster Toolkit помогает организовать взаимодействие с множеством Androidдевайсов. В общем, он предназначен для работы с большой коллекцией устройств, присоединенных к одному компьютеру напрямую либо через один или несколько USB-хабов. Так что исследователь может работать либо с одним устройством, либо сразу с целой группой устройств.

Программа написана на Ruby. Давай познакомимся с основными скриптами:

•scan.rb — позволяет быстро добавить новое устройство в систему;

•shell.rb — позволяет выполнять shellоперации на конкретном устройстве;

•mdo — позволяет запустить нужную ADBкоманду на группе устройств, например удобно установить приложение сразу на несколько устройств одной командой;

•mcmd — позволяет выполнять shell-операции на группе устройств, например получить сетевые настройки с устройств;

•mbb — позволяет выполнять команды из BusyBox на группе устройств;

•mpull — позволяет скачать необходимые файлы с группы устройств на хостовую машину.

Теперь твой Android-зоопарк будет под контролем.

MEMADDRESSANALYZER

Целью данного исследовательского проекта было создать инструмент, способный:

•повторно запускать программу по выбору X раз (настраиваемо);

•при этом для каждого запуска ждать Y времени (настраиваемо);

•записывать адреса и размеры смаппированных страниц памяти и права на них: на запись, на чтение/запись;

•по завершении работы просматривать, какие страницы памяти были выделены с теми же правами по одному и тому же адресу.

Ядумаю, многие догадались, что данный подход позволяет динамически обнаруживать адреса, полезные для обхода ASLR (Address Space Layout Randomization). При этом программа представляет собой небольшой скрипт на Python и поддерживает Linux и Windоws.

Наблюдательный читатель может обратить внимание, что не отмечаются страницы памяти, помеченные только на выполнение. Это связано с тем, как работает ASLR в ОС Windows, — DLL будут перебазироваться только после перезагрузки всей системы, так что они будут вносить некорректные помехи в результаты.

ОТЗАВИСИМОСТИДОУЯЗВИМОСТИ

Давай представим ситуацию: ты исследуешь какую-то программу, которую написали по госзаказу. Первым делом, скорее всего, ты захочешь узнать, что стороннего использовали разработчики при ее создании. После этого ты, естественно, поинтересуешься, какие версии сторонних библиотек использовались, последние ли они и закрыты ли в них все известные уязвимости. Для этого ты полезешь в какую-нибудь базу уязвимостей и начнешь все проверять вручную. В общем, это не особо интересная и муторная работа, которую хорошо было бы автоматизировать.

Dependency-Check — это утилита, которая помогает обнаружить публично известные уязвимости в сторонних зависимостях исследуемого проекта. На текущий момент она поддерживает анализ Java- и .NET-зависимостей, но планируется поддержка Node.js и клиентских JavaScript-библиотек. Этот инструмент прекрасно подходит для проверки одного из пунктов OWASP — «A9 — Using Components with Known Vulnerabilities».

Trojan.Tinba

JRMurray76@shutterstock.com

Этот троян запросто мог бы затеряться среди тысяч своих собратьев по ремеслу, если бы не одно «но». Согласись, в нынешнем мире гигабайт, гигагерц и сотен тысяч строк кода не каждый день можно встретить полноценную банковскую малварь размером чуть меньше двадцати килобайт, да и к тому же полностью написанную на асме.

START

КАКВСЕНАЧИНАЛОСЬ

Все началось два года назад, когда антивирусные компании стали наперебой рапортовать о поимке очередного зловреда, который обладал полноценным функционалом по отъему наличности у пользователей различных систем интернет-бан- кинга и при этом умещался в 19 968 байт кода.

Пару месяцев назад интерес к этому троянцу вернулся из-за утечки исходных кодов зловреда на просторы интернета. При этом некоторые из антивирусных экспертов начали предрекать появление многочисленных клонов трояна, как это было после утечки в паблик исходников Zeus или Carber.

Мы решили не оставаться в стороне и провести небольшой анализ исходников Trojan.Tinba, чтобы узнать, есть ли в них что-нибудь интересное для мечтающего об оптимизации своего кода хакера.

5

6

7