FREAK ثغرة جديدة في بروتوكول SSL/TLS

ثغرة جديدة تم اكتشافها في بروتوكول SSL/TLS المستخدَم في التشفير، جعلت ملايين مستخدمي أجهزة آبل وأندرويد عرضة للاختراق من نوع الهجوم الوسيط Man-in-the-Middle، وهي تهاجم البيانات المشفرة أثناء زيارة ما يفترض أنها مواقع آمنة مثل الموقع الإلكتروني للبيت الأبيض، ومكتب التحقيقات الفيدرالي FBI، ووكالة الأمن القومي الأمريكي NSA.

ترمز كلمة FREAK إلى نوع جديد من الاختراق يسمى Factoring Attack on RSA-EXPORT Keys وتعني الهجوم بوساطة مفاتيح RSA-EXPORT.

تمكّن هذه الثغرة الهاكرز أو السلطات المختصة من إجبار المستخدمين على استخدام نظم تشفير ضعيفة وقديمة ومعروفة مثل مفاتيح export-grade أو حتى مفاتيح RSA بقيمة 512 بت.

تم اكتشاف هذه الثغرة من قبل باحثي أمن المعلومات في معهد علوم الحاسوب والأتمتة بفرنسا Inria، بالإضافة لشركة مايكروسوفت، وتكمن هذه الثغرة في أنظمة التشفير OpenSSL بنسختها 1.01k والنسخ الأقدم منها، بالإضافة إلى نظام آبل المشفر لنقل البيانات.

ما هو تشفير EXPORT-GRADE الضعيف منذ التسعينيات؟

بالعودة إلى أيام التسعينيات، حاولت الحكومة الأمريكية أن تنظم عملية تصدير المنتجات بجعلها مشفرة بشكل قوي، حتى تلك التي تعمل بنظم تشفير ضعيفة، ومنها نظام تشفير EXPORT-GRADE، قبل أن تُشحن خارج البلاد. وفي ذلك الوقت كانت مفاتيح التشفير تتألف من 512 بت فقط.

في عام 2000 - ومع الإصدارات المحدثة من القوانين الأمريكية - أصبحت الشركات قادرة على استخدام 128بت من الأصفار في منتجاتها، وقامت بتصدير هذه المنتجات لكل أنحاء العالم.

المشكلة الوحيدة في الموضوع أن نوع التشفير "EXPORT-GRADE" لم يتم إزالته من تلك الأجهزة، والآن بعد ثلاثة عقود فإن ثغرة FREAK جعلت من السهل على المخترقين أن يقوموا باختراق الأرقام السرية للمواقع، وفك تشفير كلمات المرور، والحصول على الكوكيز، والمزيد من المعلومات الحساسة التي تتصل باستخدام بروتوكول HTTPS.

كيف تعمل ثغرة " FREAK " ؟

قام الباحثان ماثيو غرين وجون هوبكنز- من معهد علوم أمن المعلومات في ماريلاند- بتلخيص عمل ثغرة FREAK في تدوينة لهما توضح كيف يقوم المخترقون باستخدام ما يسمى بهجوم MitM ورد فيها ما يلي :

1. يرسل العميل رسالة يطلب فيها نظام التشفير "RSA" القياسي.

2. المهاجم MitM يعترض هذه الرسالة ويغيرها ليطلب نظام التشفير 'export RSA'.

3. المخدم يستجيب للطلب بإرسال مفتاح RSA من نوع 512 بت موقع بتوقيع رقمي ذو مفتاح طويل الأمد.

4. العميل يوافق على استخدام هذا المفتاح الضعيف طبقاً لبروتوكول التشفير OpenSSL دون أن يدري أنه يستخدم نظام تشفير ضعيف.

5. يقوم المهاجم بكشف مفتاح تشفير RSA.

6. عندما يرسل العميل أي بيانات لاحقاً سيقوم المهاجم بفك تشفيرها، والحصول بذلك على ما يسمى TLS 'master secret' الخاص بهذا المستخدم وهو المفتاح الرئيسي في تشفير التراسل الخاص بالعميل.

7. من هنا فصاعداً يستطيع المهاجم القيام بعمليات تجسس وحقن على الجهاز المخترق.

36% من المواقع العاملة بنظام تشفير SSL مصابة بهذه الثغرة:

بعد فحص أكثر من 14 مليون موقع إلكتروني يستخدم بروتوكول SSL في التشفير، وجد أن 36% من هذه المواقع متأثرة بالثغرة المذكورة، وخاصة تلك التي تستخدم شهادات معتمدة نظام تشفير RSA مثل (TLS_RSA_EXPORT_WITH_DES40_CBC_SHA).

كان اختراق مفتاح يستخدم 512 بت في التشفير في التسعينيات أمراً مستحيلاً ويتطلب حاسوباً خارقاً، ولكن اليوم ومع تقدم التكنولوجيا، أصبح من الممكن أن يتم الموضوع في غضون سبع ساعات وبتكلفة ما يقرب 100 دولار للموقع الواحد.

من الممكن أن تكون الثغرة FREAK مفعلة في أي جهاز يمتلك نظام أندرويد، أو آيفون، أو حاسوب آبل بنظام OS X، عندما يكون متصل بالمواقع باستخدام بروتوكول HTTPS، واكتُشف حديثاً أن جميع نسخ ويندوز مصابة أيضاً بالثغرة مما جعلها كارثية أكثر من السابق.

ثغرة FREAK مشابهة لـ POODLE:

إن ثغرة FREAK مشابهة لثغرة (Padding Oracle On Downgrade Legacy Encryption) POODLE التي ظهرت قبل عام، والتي تسمح للمخترقين بجعل اتصال الانترنت SSL\TLS يعمل بأضعف نسخة منه، لكن FREAK يؤثر فقط على تطبيقات بروتوكول SSL\TLS التي تعتمد على تصدير نوع البروتوكولات الذي يستخدم خوارزمية تشفير RSA، وقد طور الباحثون بسرعة أداة لفحص المواقع من ثغرة "FREAK" تجدونها هنا

و هنا تجدون قائمة بأهم المواقع والمتصفحات المتأثرة بالثغرة.

لقد قامت كل من شركتي غوغل وأبل بطرح تحديثات للمتصفحات من أجل سد الثغرة، أما بالنسبة لبلاك بيري ولينكس فهي تعمل على ذلك، وبالنسبة لمستخدمي ويندوز فيمكنهم الإطلاع على الرابط التالي لمعرفة وضع أجهزتكم وطرق حمايتها:

هنا

أخيراً، قسم المعلوماتية في مبادرة الباحثون السوريون ينصحكم بتحديث متصفحاتكم وانتظار التحديثات بالنسبة لأجهزة آندرويد وآبل.

المصادر :

هنا

هنا

هنا

هنا

ترجمة : issam abbas

تدقيق : Mohammed Sheikh Salem

تدقيق لغوي: Rowanne Kabalan

مراجعة :

الصورة : Inas M Tak