Logjam és una vulnerabilitat de seguretat en sistemes que utilitzen l'intercanvi de claus Diffie-Hellman amb el mateix nombre primer. Va ser descobert per un equip d'informàtics i publicat el 20 de maig de 2015. Els descobridors van poder demostrar el seu atac en sistemes DH de 512 bits (de grau d'exportació dels EUA). Van estimar que un atacant a nivell estatal podria fer-ho per a sistemes de 1024 bits, que aleshores s'utilitzaven àmpliament, permetent així el desxifrat d'una fracció significativa del trànsit d'Internet. Van recomanar actualitzar a almenys 2048 bits per a sistemes prime compartits. miniatura|370x370px|Atac Logjam
Detalls L'intercanvi de claus Diffie-Hellman depèn, per a la seva seguretat, de la presumpta dificultat de resoldre el problema del logaritme discret. Els autors van aprofitar el fet que l'algoritme de sedàs de camps de nombres, que generalment és el mètode més eficaç per trobar logaritmes discrets, consta de quatre grans passos computacionals, dels quals els tres primers depenen només de l'ordre del grup G, no del nombre específic del qual es desitja el logaritme finit. Si els resultats dels tres primers passos es precalculen i es guarden, es poden utilitzar per resoldre qualsevol problema logarítmic discret per a aquest grup primer en un temps relativament curt. Aquesta vulnerabilitat ja era coneguda el 1992.Whitfield Diffie, Paul C. Van Oorschot, and Michael J. Wiener "Authentication and Authenticated Key Exchanges", in Designs, Codes and Cryptography, 2, 107–125 (1992), Section 5.2, available as Appendix B to : "If q has been chosen correctly, extracting logarithms modulo q requires a precomputation proportional to though after that individual logarithms can be calculated fairly quickly." Resulta que gran part del trànsit d'Internet només utilitza un dels pocs grups que són de l'ordre de 1024 bits o menys.
Un enfocament habilitat per aquesta vulnerabilitat que els autors van demostrar va ser utilitzar una intercepció (atacant de xarxa man-in-the-middle) per rebaixar una connexió Transport Layer Security (TLS) per utilitzar criptografia de grau d'exportació DH de 512 bits, permetent-los llegir les dades intercanviades i injectar dades a la connexió. Afecta els protocols HTTPS, SMTPS i IMAPS, entre d'altres. Els autors necessitaven diversos milers de nuclis de CPU durant una setmana per precalcular les dades d'un únic nombre primer de 512 bits. Un cop fet això, però, els logaritmes individuals es podien resoldre en aproximadament un minut utilitzant dues CPU Intel Xeon de 18 nuclis. Originally published in Proc. 22nd Conf. on Computers and Communications Security (CCS). Republished, CACM, Jan. 2019, pp. 106-114, with Technical Perspective, "Attaching Cryptographic Key Exchange with Precomputation", by Dan Boneh, p. 105. El seu identificador de CVE és CVE
Els autors també van estimar la viabilitat de l'atac contra nombres primers Diffie-Hellman de 1024 bits. Per disseny, moltes implementacions de Diffie-Hellman utilitzen el mateix nombre primer pregenerat per al seu camp. Això es considerava segur, ja que el problema del logaritme discret encara es considera difícil per a nombres primers prou grans, fins i tot si el grup és conegut i reutilitzat. Els investigadors van calcular el cost de crear una precomputació de logjam per a un nombre primer de 1024 bits en centenars de milions de dòlars, i van observar que això estava dins del rang del Programa Criptològic Consolidat dels EUA de l'exercici 2012, de 10.500 milions de dòlars (que inclou la NSA). A causa de la reutilització de nombres primers, generar un precomputació per a només un nombre primer trencaria dos terços de les VPN i una quarta part de tots els servidors SSH a nivell mundial. Els investigadors van assenyalar que aquest atac coincideix amb les afirmacions de documents filtrats de la NSA que indiquen que la NSA és capaç de trencar gran part de la criptografia actual. Recomanen utilitzar nombres primers de 2048 bits o més com a defensa o canviar a la corba Diffie-Hellman (ECDH) de corba el·líptica. Tanmateix, els investigadors de seguretat Eyal Ronen i Adi Shamir van qüestionar les afirmacions sobre les implicacions pràctiques de l'atac en el seu article "Critical Review of Imperfect Forward Secrecy".
Respostes El 12 de maig de 2015, Microsoft va publicar un pegat per a l'Internet Explorer. El 16 de juny de 2015, el Projecte Tor va proporcionar un pegat per a Logjam al navegador Tor. El 30 de juny de 2015, Apple va llançar un pegat per al sistema operatiu OS X Yosemite i iOS 8. El 30 de juny de 2015, el projecte Mozilla va publicar una correcció per al navegador Firefox. L'1 de setembre de 2015, Google va publicar una correcció per al navegador Chrome. El 6 de desembre de 2017, l'IETF va publicar anomenada "Augmentar la mida mínima recomanada del mòdul Diffie-Hellman de Secure Shell a 2048 bits".
Referències
Categoria:Criptografia Categoria:Seguretat informàtica