Miliony uživatelů internetu v ohrožení?

V době, kdy se v souvislosti s internetem stále častěji píše o otázce soukromí a o dobrém zabezpečení počítačů a i komunikace, přichází zprávy o vážné bezpečnostní chybě, která se může dotýkat milionů lidí.

Tak nejprve musíme říct, že jde o zprávu poměrnou „starou“ ―  bezpečností chyba (o které bude řeč) byla odhalena už v polovině května, ale vzhledem k tomu, že až v posledních dnech se začaly webem šířit různé vyděšené, děsící a až katastroficky laděné články, nebude od věci teď na celou situaci zareagovat.

Před dvěma týdny, přesněji 13. května, se ukázalo, že spousta zabezpečených aplikací využívajících klíče generované knihovnou OpenSSL vystavila uživatele bezpečnostní hrozbě ― za problémy může právě upravená verze knihovny OpenSSL.

Šifrování a špatné klíče

Například při klasické komunikaci přes HTTP protokol je pro potenciálního útočníka velice snadné, aby obsah vaší komunikace sledoval a odposlouchával. Rozšíření protokolu HTTP o šifrování SSL/TSL tuto potíž řeší: výsledný HTTPS protokol se pak používá například pro přístup do emailové schránky nebo do různých finančních systémů (internetové bankovnictví, elektronická peněženka, …) a všude tam, kde je zkrátka nutné zaručit vysoké zabezpečení a snížit na minimum možnost odposlechu. Server, ke kterému se připojujete a který má zajistit šifrované spojení, musí mimo jiné vygenerovat i klíče vhodné délky ― např. klíče s délkou 128 bitů ―, které jsou potřebné k zašifrování a dešifrování přenášené informace. „V éteru“ je pak zašifrovaná informace nečitelná a až vy, váš počítač, ji opět pomocí klíče dešifrujete. Pro lepší představu, kdybyste nějakou zprávu zašifrovali klíčem o délce jen 4 bity, získat pravý klíč hrubou silou (tj. zkoušením) by bylo otázkou okamžiku: existovalo by totiž pouhopouhých 16 (2⁴) možností (0000, 0001, 0010,…, 1011, 1111). V případě třeba 128bitového šifrování ale existuje celkem 2¹²⁸ (asi 3,4x10³⁸ = 3 400 000 000 000 000 000 000 000 000 000 000 000 000) možností, takže odhalení klíče hrubou silou se dnes opravdu nemusíte bát.

Ale na určitých systémech došlo k chybě. Lidským zásahem se stalo, že knihovna OpenSSL náhodně negenerovala klíče ze všech 2¹²⁸ možných, ale jen z počtu 2¹⁵, tedy z 32 768 možných klíčů (ve skutečnosti jich bylo 32 767). A to je pro prolomení hrubou silou doslova „nic“. Co to tedy znamená? Pokud útočník věděl, že ten a ten server obsahuje software s touto chybou (o které musel sám vědět), potom také věděl, že klíče vygenerované těmito servery nebudou mít 2¹²⁸ různých podob, ale jen asi těch třicet tisíc. Potom by pro něj bylo více než snadné těch „pár“ různých klíčů zkoušet použít na prolomení šifrování přenosu.

Čeho se chyba týká

Problém s počtem vygenerovaných klíčů byl odhalen u linuxového operačního systému Debian, takže se dotýká i všech jeho odvozenin, jako je Ubuntu (včetně Kubuntu, Edubuntu, Xubuntu), Xandros, Linspire a mnohých dalších. Debian a Ubuntu se přitom často používají právě na serverech, kde bylo bezpečnostní riziko logicky největší. Žádné systémy jako Red Hat, SUSE, Gentoo a ani jiné ― jež nemají nic společného s Debianem ― nebyly chybou postiženy.

Ptáte se proč? Nebyla chyba snad v knihovně OpenSSL, která se stará o implementaci oněch základních kryptografických funkcí?

Tato velká bezpečnostní chyba s generováním malého počtu klíčů má svůj původ v jiném softwaru ― zautomatizovaném nástroji na hledání chyb v programových kódech (tzv. Valgrind). Bohužel se stalo, že Valgrind upravil část kódu tak nešikovně, že narušil správné náhodné generování čísel, což ve výsledku vedlo k chybám. Tu část kódu související s aktivitou Valgrindu proto programátoři kolem Debianu, kteří si s OpenSSL "hráli", vynechali („zakomentovali“), aby neovlivňovala zbytek kódu, ovšem tím nešťastně vynechali i ostatní metody pro generování náhodných čísel. Ve výsledku pak zbyl systém, který mohl generovat jen velice omezený počet klíčů.

Ben Laurie z vývojářského týmu OpenSSL na počínání programátorů z projektu Debian reagoval slovy: „Nikdy se nesnažte opravit chybu, které nerozumíte! Kdyby nám o tom řekli lidi z Debianu, váleli bychom se tady smíchy. Potom bychom jim sdělili, jaký nesmysl udělali. Ale to ne, prostě jak se zdá, každý distributor chce přispět svou „přidanou hodnotou“, kterou strčí mezi uživatele softwaru a jeho autora.“

Zároveň se samozřejmě objevily kritické hlasy ohledně špatné komunikace mezi vývojáři velkých open-sourcových projektů. Někteří komentátoři a vývojáři tento případ s vadným šifrováním označují nejen za fatální selhání open-sourcového průmyslu, ale obecně i počítačové bezpečnosti.

Stojí totiž za to si říct ještě jednu věc: chyba byla „v provozu“ skoro dva roky (celých 20 měsíců). Co je horší, ačkoliv oprava chyby už byla vydána, ta sama o sobě nestačí ― je potřeba vygenerovat zas a znova všechny klíče, které na serverech s Debianem a na odvozených systémech byly za 20 měsíců vygenerovány. A budou se muset ve velkém opět vydávat a podepisovat SSL certifikáty certifikačními autoritami.

Problém se dotkl nejméně čtyř oblíbených operačních systémů, pětadvaceti různých známých programů a milionů počítačů po celém světě ― zasažen totiž byl i server Apache, SSH pro vzdálený přístup, IPsec VPN, různé e-mailové schránky/klienti a dokonce i stroje s Windows, pokud používaly klíče generované na postižených linuxových systémech (kompletní přehled toho, čeho se vadné klíče dotkly, zde). Na druhou stranu musíme klidnit rozhořčené reakce o vyloupených bankovních kontech ― bank, které by používaly OpenSSL a ještě ve spojení s Debianem či Ubuntu, asi nebude moc, pokud takové vůbec existují. Ale přesto: děsí vás podobná bezpečnostní selhání?

30. 5. 2008

Autor: Oldřich Klimánek