Logjam — уязвимость безопасности в системах, использующих обмен ключами Диффи–Хеллмана с тем же простым числом. Она была обнаружена группой компьютерных ученых и публично сообщена 20 мая 2015 года. [1] Первооткрыватели смогли продемонстрировать свою атаку на 512-битных ( экспортного класса США ) системах DH. Они подсчитали, что злоумышленник государственного уровня мог бы сделать это для 1024-битных систем, которые тогда широко использовались, тем самым позволяя расшифровать значительную часть интернет-трафика. Они рекомендовали обновиться как минимум до 2048 бит для общих простых систем. [2] [3] [4]
Обмен ключами Диффи–Хеллмана зависит от предполагаемой сложности решения задачи дискретного логарифма . Авторы воспользовались тем фактом, что алгоритм решета числового поля , который, как правило, является наиболее эффективным методом нахождения дискретных логарифмов, состоит из четырех больших вычислительных шагов, из которых первые три зависят только от порядка группы G, а не от конкретного числа, конечный логарифм которого требуется. Если результаты первых трех шагов предварительно вычислены и сохранены, их можно использовать для решения любой задачи дискретного логарифма для этой простой группы за относительно короткое время. Эта уязвимость была известна еще в 1992 году. [5] Оказывается, большая часть интернет-трафика использует только одну из нескольких групп, которые имеют порядок 1024 бит или меньше.
Один из подходов, реализованных этой уязвимостью, который продемонстрировали авторы, заключался в использовании сетевого злоумышленника типа «человек посередине» для понижения уровня соединения Transport Layer Security (TLS) до использования 512-битной криптографии экспортного уровня DH , что позволяло им читать обмениваемые данные и вводить данные в соединение. Это влияет на протоколы HTTPS , SMTPS и IMAPS , среди прочих. Авторам потребовалось несколько тысяч ядер ЦП в течение недели для предварительного вычисления данных для одного 512-битного простого числа. Однако после этого отдельные логарифмы можно было решить примерно за минуту с помощью двух 18-ядерных ЦП Intel Xeon . [6] Его идентификатор CVE — CVE - 2015-4000. [7]
Авторы также оценили осуществимость атаки против 1024-битных простых чисел Диффи-Хеллмана. По замыслу, многие реализации Диффи-Хеллмана используют одно и то же предварительно сгенерированное простое число для своей области. Это считалось безопасным, поскольку задача дискретного логарифма все еще считается сложной для достаточно больших простых чисел, даже если группа известна и используется повторно. Исследователи подсчитали стоимость создания предварительных вычислений logjam для одного 1024-битного простого числа в сотни миллионов долларов США и отметили, что это вполне соответствует диапазону 10,5 млрд долларов США в 2012 финансовом году в рамках Консолидированной криптологической программы США (которая включает АНБ ). Из-за повторного использования простых чисел генерация предварительных вычислений только для одного простого числа взломает две трети VPN и четверть всех серверов SSH по всему миру. Исследователи отметили, что эта атака соответствует утверждениям в просочившихся документах АНБ о том, что АНБ способно взломать большую часть современной криптографии. Они рекомендуют использовать простые числа длиной 2048 бит или более в качестве защиты или перейти на эллиптический кривые Диффи-Хеллмана (ECDH). [1] Однако утверждения о практических последствиях атаки были оспорены исследователями безопасности Эялом Роненом и Ади Шамиром в их статье «Критический обзор несовершенной прямой секретности». [8]
Это обновление безопасности устраняет уязвимость в Microsoft Windows, которая облегчает эксплуатацию публично раскрытой техники Logjam, [...] Обновление безопасности устраняет уязвимость, увеличивая минимально допустимую длину ключа DHE до 1024 бит.
Эта проблема, также известная как Logjam, [...] была решена путем увеличения минимального размера по умолчанию, разрешенного для эфемерных ключей DH, до 768 бит.
Эта проблема, также известная как Logjam, [...] была решена путем увеличения минимально допустимого размера по умолчанию для эфемерных ключей DH до 768 бит.
ИСПРАВЛЕНО В Firefox 39.0 [...] Эта атака [...] известна как "Logjam Attack". Эта проблема была исправлена в версии NSS 3.19.1 путем ограничения нижней стойкости поддерживаемых ключей DHE для использования простых чисел длиной 1023 бита.
