«Дыры» в IPsec делают возможным перехват зашифрованных коммуникаций

На открывающемся сегодня в Балтиморе (США) Usenix Security Symposium группа исследователей во главе с профессором Рурского университета (Ruhr-Universität Bochum, RUB) Йоргом Швенком (Jörg Schwenk) продемонстрирует уязвимость к атакам интернет-протокола IPsec. Являющийся его частью протокол Internet Key Exchange (IKEv1) имеет недоработки, позволяющие злоумышленникам вмешиваться в коммуникационный процесс, идентифицировать его участников и перехватывать передаваемую информацию.

Речь идёт не ошибках в самом протоколе, а, скорее, в его имплементациях производителями сетевого оборудования.

IPsec был разработан как расширение протокола IP, обеспечивающее путём шифрования и аутентификации безопасность коммуникаций, осуществляемых через общедоступные и ненадёжные сети, такие как Интернет.

Защищённый канал такого типа удобен для децентрализованного персонала, например, для доступа к ресурсам компании мобильных представителей или сотрудников, работающих дома. Кроме того, данный протокол может применяться для создания виртуальных частных сетей (VPN).

Для установления зашифрованного соединения с IPsec, обе стороны должны определить общие ключи. Их автоматическая аутентификация и контроль осуществляются посредством протокола IKEv1. Несмотря на то, что он считается устаревшим и уже давно имеется более новая версия, IKEv2, IKEv1 всё ещё пользуется популярностью даже на новых устройствах.

В их попытке взлома IPsec исследователи использовали атаку Бляйхенбахера (Bleichenbacher), изобретённую в 1998 году. Она заключается в многократной отсылке на сервер зашифрованного сообщения с вставленными в него ошибками. Анализируя реакцию сервера на повреждённое сообщение, хакеры шаг за шагом могут реконструировать его защищённое содержимое.

Атака Бляхенбахера оказалась эффективной против сетевого оборудования от Clavister, Zyxel, Cisco и Huawei. Все четыре производителя были уведомлены об опасности и к настоящему времени устранили у себя эти недостатки безопасности.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365