RC4 No More: Robo de cookies en HTTPS/TLS y Cracking de redes WiFi con WPA/TKIP

Los investigadores Mathy Vanhoef y Frank Piessens han agitado el ya agitado mundo de la criptografía - recordemos que las investigaciones de FREAK y SKIP TLS son aún muy recientes - con la implementación práctica de ataques contra conexiones HTTPS/TLS que permiten robar las cookies de una web y contra el cifrado TKIP (Temporary Key Integrity Protocol) que utilizan las redes WPA. Ambos ataques se basan en aplicar un ataque práctico contra el algoritmo RC4, utilizado en ambos entornos.

Figura 1: RC4 No More: Robo de cookies en HTTPS/TLS y Cracking WiFI WPA-TKIP

Todo el trabajo ha sido publicado en un paper titulado "All your biases belong to us: Breaking RC4 in WPA-TKIP & TLS", donde se analizan todas las debilidades o sesgos conocidos en la generación del Keystream usado en RC4, cómo ponerlos en un ataque práctico que implementa un algoritmo de optimizado para que sean útiles y funcionales en dos entornos en los que se utiliza RC4, como son las conexiones TLS en el protocolo HTTPS, y el cifrado del tráfico en las redes WiFi WPA-TKIP.

Figura 2: All your biases belong to us. Breaking RC4 in WPA-TKIP and TLS

La base del estudio son los sesgos, o lo que es lo mismo, las posibilidades que tienen determinados bytes de un keystream utilizado en RC4 de tener determinados valores de manera independiente o dependientes del valor que tengan otros bytes. Para que sea fácil de entender, cuando se genera un keystream en RC4, éste debería ser totalmente aleatorio, pero tal y como se construyen en la práctica estos keystream no es así.

Figura 3: Una de las tablas de sesgos de probabilidad aplicada

Algunos de estos sesgos de probabilidad ya eran conocidos, y lo que han hecho los investigadores ha sido ponerlos en práctica, además de generar nuevos sesgos en bytes en base a resultados de experimentación empíricos.

Figura 4: Análisis de sesgos introducidos en los dos primeros bytes del keystream

Con ellos, han sido capaces de realizar ataques para robar las cookies de una página web protegidas por una conexión HTTPs con TLS en unas 52 horas de media, lo que no es mucho teniendo en cuenta que mucha gente no mata las cookies, así que cualquiera que pueda estar capturando el tráfico en un backbone, en la red local, o en la red WiFi, podría tener una cookie de sesión válida en un par de días.

Figura 5: Escenario de robo de cookie de sesión con RC4 No More 

En el siguiente vídeo se puede ver una demostración práctica de cómo se roban las cookies de una web en un entorno como el descrito.

Figura 6: Robo de cookie de sesión con RC4 No More

Este tipo de ataques se podría realizar a cualquier conexión TLS, como por ejemplo algunas conexiones VPN, por lo que la recomendación es, como dicen los investigadores, RC4 No More. Si tienes aún un sitio web que permita RC4 o tienes una red WPA-TKIP - que antes se atacaba solo mediante el craking WPA de la clave en base a diccionarios - , asume que en poco tiempo cualquiera podría acceder a tus datos. Para los que quieran conocer más sobre los algoritmos criptográficos, os recomiendo que le deis una buena lectura al libro de Criptografía: De la cifra clásica a RSA.

Saludos Malignos!