Sicurezza nel GSM e Smart Card - Dipartimento di Informatica e
annuncio pubblicitario
Sicurezza nel GSM e Smart Card A cura di Marco Canu Marco Cascianelli Luca de Angelis Emanuele Garuglieri Paola Ranaldi Storia e panoramica sull’architettura GSM A cura di Marco Cascianelli Cronologia 1921 – il Dipartimento di Polizia di Detroit sperimenta comunicazione one-way centrale-volanti 1935 – E.H.Armstrong inventa la Frequency Modulation (la modulazione varia proporzionalmente al segnale analogico da trasmettere, segnale modulante, come frequenza di un segnale sinusoidale ausiliario). Già tra la fine degli anni 40 fu evidente la mancanza di un numero sufficiente di canali radio per soddisfare le richieste di tutti i settori Cronologia Fine anni 40 – singolo trasmettirore FM, copertura ristretta, commutazione manuale delle chiamate nella stazione radio. Banda di 120 KHz Anni 60 – riduzione della banda necessaria a 60KHz Anni 70 – riduzione della banda a 25 KHz Passaggio ai sistemi trunked z z I primi sistemi utilizzavano più trasmettitori indipendenti, con una frequenza fissa per ogni utente. In seguito vennero introdotti i sistemi trunked, con selezione dinamica dei canali liberi – inizialmente manuale ed in seguito automatizzata Sistemi a celle z z z Concepiti negli anni 40, sperimentati negli anni 60, commercializzati negli anni 80 invece di usare trasmettitori ad elevatra potenza per coprire vaste ma limitate aree, servendo un numero ristretto di utenze, usano stazioni distribuite su celle geografiche limitate Ogni cella usa frequenze diverse da quelle usate nelle celle adiacenti Sistemi a celle z z z I trasmettitori necessitano di minore potenza per coprire una cella senza interferire con quelle non adiacenti operanti alle stesse frequenze I terminali mobili devono essere in grado di sintonizzarsi sulle frequenze relative alla cella Il passaggio dalle frequenze di una cella a quelle della cella adiacente si chiama handover Collocazione delle celle z z È importante trovare il giusto equilibrio tra grandezza delle celle e numero di suddivisioni della banda. Uno studio attento garantisce un numero non eccessivo di handover e basso rischio di interferenza tra celle a fronte di una banda necessaria limitata Collocazione delle celle z z Il territorio viene suddiviso in aree (celle) adiacenti, che utilizzano un numero ridotto di frequenze. La grandezza delle celle può variare per esigenze relative al servizio richiesto o alla conformazione del territorio TACS Acronimo di Total Access Communication System 1979 – AMPS negli USA (Advanced Mobile Phone Standard) 1981 – NMT nei paesi scandinavi (Nordic Mobile Telephone) 1985 – TACS in Gran Bretagna z z z 1000 canali; 890-960 MHz ETACS: 1320 canali; 872-950 MHz 1990 – in Italia viene adottato l’ETACS a seguito della saturazione del sistema RTMS TACS – limiti z z z z z z z z Standard diversi incompatibili in vari paesi Roaming internazionale limitato per sicurezza e incompatiblità Sfruttamento inefficiente della banda, limite di utenze gestibili per zona (segnale analogico) Bassa qualità del segnale dovuta alla sensibilità al rumore Grande numero di ricetrasmettitori necessari, per l’alto numero di canali Costi alti dei terminali, per l’impossibilità di politiche commerciali di scala (standard incompatibili) Impossibile autenticare un terminale Impossibile criptare il segnale, e trasmettere dati GSM 1982 – La CEPT crea il Group Special Mobile 1985 – Il GSM sceglie definitivamente la via del digitale z z z z z z TDM – Time Divisione Multiplexing Bassa sensibilità al rumore (=> celle più piccole=>più utenze possibili) Cifratura dei messaggi Identificazione con chiave segreta degli apparati Trasmissione dati 980-915 MHz, 935-960 MHz GSM 1987 – Memorandum of Understanding, per apertura del servizio nel 1991 1989 – GSM passa all’ETSI, viene rettificato il significato dell’acronimo: Global System for Mobile Communications 1990 – phase 1: prime specifiche 1993 – phase 2: integrazione servizi supplementari z z 36 reti GSM in 22 paesi Con DCS1800 e PCS1900 80 paesi attualmente usano GSM Architettura GSM Operation Support Subsystem Network Service Management Centre Operation and Manintenance Centre Network Subystem Home Location Register Autentication Centre Unico canale protetto Base Transceiver Station Base Station Controller Mobile service Switching Centre Base Station Subsystem (gestione della copertura radio) Mobile Station Equipment Identity Register Rete GSM Visitor Location Register Architettura GSM : rete di segnalazione SS7 AuC HLR SS7 MSC A Abis BTS Abis VLR A A A BSC BSC BSC SS7 BSC MSC SS7 VLR Abis BTS BTS Abis BTS Abis BTS Abis BTS BTS Um Um Um: cifrata Abis: non cifrata Abis Abis BTS Procedura di chiamata z Verso MS: z z z z z z z Utente PSTN compone MSISDN Il GMSC richiede all’HLR la posizione dell’abbonato L’HLR ottiene dal VLR l’MSRN Il GMSC usa l’MSRN per l’instradamento verso l’MSC da cui dipende l’utente mobile L’MSC ottiene dal VLR il LAI che identifica le BSS a cui inviare la “paging request” La MS risponde alla ricerca inviando alla BSS una “channel request” La MS usa il canale ottenuto per inviare una “paging response” Procedura di chiamata z z z z z z z La BSS invia la “paging response” al VLR tramite l’MSC associato L’MSC riceve dal VLR una “complete call” che rimanda alla MS tramite BSS L’MS invia al MSC una “call confirmation” L’MSC, tramite il GMSC, fa arrivare alla PSTN il tono di chiamata L’MSC assegna un canale di chiamata alla BSS, che a sua volta ne assegna uno alla MS La MS squilla; appena l’utente risponde l’MS invia una “connect” all’MSC che invia una “answer” al PSTN tramite GMSC MSC e GMSC interconnettono il canale GSM e il circuito PSTN e la chiamata ha corso Procedura di chiamata z Da una MS (ala rete telefonica) z z z z z La MS trasmette alla BTS una “channel request” La BSS manda una “request for service” alla MSC L’MSC ottiene dal VLR info sull’abbonato L’MS manda una “setup” con le informazioni necessarie alla MSC L’MSC ottiene dal VLR in risposta alla “setup” una “complete call”, e comunica alla MS una “call proceeding” Procedura di chiamata z z z L’MSC assegna un canale alla BSS, che ne assegna uno a sua volta alla MS L’MSC contatta la PSTN, e al “address complete message” fa giungere il tono di chiamata all’utente mobile Quando dalla PSTN giunge una “answer” l’MSC connette il canale GSM al circuito PSTN, e la chiamata ha corso Procedura di handover L’handover è gestito dalle BSC con i dati continuamente inviati dalla MS sulla qualità del segnale e sulla posizione della MS stessa Gli algoritmi di handover producono sempre una lista di celle candidate a partire dalla migliore Procedura di handover Tra celle sotto lo stesso BSC: z La BSC invia una “handover command” con le informazioni sul nuovo canale z La MS cambia canale e invia una “handover completed” Procedura di handover Tra BSC sotto lo stesso MSC z La BSC invia una “handover required” alla MSC z L’MSC invia l’”handover request” all’altra BSC, la quale predispone un canale per la MS z L’MSC invia tramite la BSC d’origine un “handover command” alla MS Procedura di handover Tra BSC sotto MSC differenti z Il BSC di partenza invia un “handover required” all’MSC z L’MSC contatta l’altro MSC, il quale ottiene dal VLR un numero di istradamento per la connessione tra MSC z Il secondo MSC fa predisporre la BSC necessaria e manda le info all’MSC di partenza z L’MSC di partenza attiva la connessione i istruisce la MS per il passaggio di canale Canali radio z z z z z 890-915 MHz (25 MHz) per uplink 935-960 MHz (25 MHz) per downlink Le portanti uplink e downlink sono scelte a 45Mhz di distanza Tra due canali radio adiacenti ci devono essere 200 KHz Totale di 124 canali in entrambe le direzioni Canali logici MS Broadcast channels bcch bcch fcch sch Common control channels pgh rach agch Dedicated control channels sacch facch sdcch BTS GSM Burst Il burst è un quanto di trasmissione GSM z Normal burst: traffico e controllo z z z z 57 bit information 26 bit training sequence 0.031 ms guard period 6 bit tail bit GSM Burst z Frequency correction burst: fcch z z 142 fixed bit Synchronization burst: sch z z z z 64 bit sync sequence 39 bit coded information: frame tdma e id BTS 6 bit tail bit 8,25 bit guard period GSM Burst z Access burst: racch, primo accesso alla BTS z z z z z 41 bit training sequence 36 bit coded information 8 e 3 bit head bit e tail bit 68,25 guard period Dummy burst z Burst privo di informazioni usato nel bcch Problemi dell’interfaccia aerea z z z Perdite da spazio libero: attenuazione funzione del quadrato della distanza e del quadrato della frequenza Perdite da ostruzione Propagazione multipercorso (Rayleigh fading) Ottimizzazione dell’interfaccia aerea Codifica del canale: frame da 260 bit (20ms di conversazione) z 50 bit più importanti: classe 1a, 3 bit di parità z 132 bit media importanza: classe 1b, 4 bit di coda z 78 bit meno importanti: classe 2a Dopo la codifica di canale dei bit di classe 1, i 189 bit vengono convoluti con r=1/2; i 378 bit ottenuti, con i 78 di classe 2, formano il frame di 456 bit Ottimizzazione dell’interfaccia aerea Interleaving: suddivisione del frame da 456 bit in 8 blocchi da 57 bit con distribuzione uniforme; i primi 4 blocchi vengono spediti in prima posizione nei primi 4 burst. I successivi 4 vengono spediti in seconda posizione dei successivi 4 burst Ottimizzazione dell’interfaccia aerea Equalizzazione: sulla base della sequenza di training viene per quanto possibile dedotta la distorsione da Rayleigh fading Time advance: i tre time slot di compensazione tra trasmissione e ricezione possono essere ridotti di massimo 63 bit per compensare eventuali ritardi di trasmissione (tramite sacch 2 volte al secondo) Ottimizzazione dell’interfaccia aerea Frequency hopping: ad ogni time slot viene scelta la frequenza con miglior campo Modulazione GMSK: ad ogni bit di trasmissione le frequenze di 0 e 1 vengono “shiftate” di esattamente 180°; inoltre un filtro gaussiano viene applicato a monte dello sfasamento per ridurre le componenti fuori banda, di disturbo per i canali adiacenti Le Sim Card e MD5 A cura di Emanuele Garuglieri Sim Card Acronimo di Subscriber Identity Module. Funzioni: z z z Identificare l’utente del servizio GSM Contenere dati Crittare la conversazione In quanto evoluzione nel campo della telefonia delle Smart Card non ha solo funzioni di storage ma anche funzioni computazionali Punto di Forza: z Autosufficienza Sim Card: Struttura fisica Composta da tre elementi: z Supporto plastico z Circuito stampato z Circuito integrato Comunicazione con l’esterno tramite appositi pin I requisiti di resistenza sono definiti nel documento ISO7816. Sim Card: Il Chip La capacità di una qualsiasi smart card (la sim in questo contesto) deriva dal suo circuito integrato, solitamente composto da: z Microprocessore z Rom (contiene l’OS) z Ram (utilizzata come in tutti i calcolatori) z Eeprom (con funzioni di storage) Sim Card: Interfaccia SIM-Mobile Station Scambio di dati a 9600 bit/s tramite una linea seriale bidirezionale utilizzata in modalità half duplex. Questo pemette di evitate attacchi massici alla carta. Sim Card: Chiavi Dentro ad ogni sim card c’è un area di sistema che può contenere differenti chiavi di sicurezza, e per ciò segrete. Ciclo di vita e chiavi correlate: z z z z Nella fase di fabbricazione viene aggiunto un chiave di fabbricazione KF, unica, che deriva da una master key (MK) del produttore. Nella fase di pre-personalizzazione la chiave di fabbricazione viene rimpiazzata da una chiave personalizzata, KP, dopodichè verrà attivato un blocco delle personalizzazioni(Vper), inoltre vengono disabilitate le istruzioni di accesso fisico alla memoria. Nella fase di personalizzazione vengono scritti i dati e le applicazioni sulla card e vengono inseriti i codici PIN e PUK e viene scritto un blocco Vutil. Nella fase di utilizzo è possibile modificare il codice PIN ma non il PUK e le politiche di sicurezza sono gestite dall’applicazione. Sim Card: Invalidazione Per invalidare una sim card ci sono due modi: z z L’applicazione scrive un blocco di invalidazione sul file principale Il sistema di controllo blocca irreversibilmente l’accesso, il PIN e il PUK sono stati inseriti errati. Sim Card Struttura logica MF File organizzati in maniera gerarchica per mezzo di directory: z z z Master File (MF) è la “root” del file system, ed è selezionato automaticamente al reset. EF 0 EF n DF 0 EF 00 Elementary File (EF) sono I “repository” dei dati. Dedicated File (DF) sono le “directory” del file system e possono contenere sia DF che “EF”. Esse consentono di installare più di un’applicazione all’interno della Smart Card. EF 0n DF n DF n0 EF n0 EF nn EF n00 EF n0n Sim Card Controllo degli Accessi Il principio fondamentale di controllo di accesso è basato sulla corretta presentazione dei PIN e sulla loro gestione. Ad ogni file è associato una intestazione che indica le condizioni o i requisiti di accesso e lo stato corrente. Sim Card Livelli di accesso Esistono vari livelli di accesso: z z z z z Always: nessuna restrizione Never: l’accesso al file è proibito Card Holder Verification 1: CHV1 regola l’accesso, il PIN1 è stato inserito Card Holder Verification 2: CHV2 regola l’accesso, il PIN2 è stato inserito Administrative: l’allocazione dei livelli e i relativi requisiti sono sotto la responsabilità di una appropriata autorità amministrativa Sim Card PIN e PUK Personal Identifier Number: serve per accedere alle funzionalità e ai dati della smart card. Se inserito in maniera scorretta un numero n di volte necessita di un’altro codice di sblocco (PUK). Se anche quest’ultimo viene inserito errato un numero n di volte, successive, provoca il Blocco Irreversibile, eventualmente invalidando permanentemente la carta. Sim Card Capacità Crittografiche Utilizzo del DES e del tripleDES Punto debole :Ampiezza di banda dell’ interfaccia seriale Soluzione:nessuna, codifica simmetrica lenta. Sim Card Capacità Crittografiche Utilizzo del RSA con chiave tra 512,768 e 1024 bit. Punto debole: Capacità computazionali elevate Soluzione:Teorema cinese del resto La chiave è memorizzata nell’Eeprom e non è accessibile dall’esterno. Oltre al RSA vengono utilizzati anche i DSA che si basano su algoritmo MD5 che è una evoluzione del MD4 Sim Card Capacità Crittografiche –MD5 Message Digest (MD5) – Ron Rivest Funzione hash che dato un messaggio in input genera una sequenza (fingerprinter) di lunghezza fissa (128 bit). MD5 è una funzione hash one-way, cioè: z dato un qualsiasi M, deve essere computazionalmente semplice calcolare H(M); z dato un qualsiasi h, deve essere computazionalmente impraticabile calcolare un M tale che h = H(M); Corollario: Funzione hash senza collisioni Una funzione di hash sicura deve essere senza collisioni (collision-resistant): z z dato un qualsiasi M, deve essere computazionalmente impraticabile trovare un M’≠ M tale che H(M’) = H(M) (funzione debolmente senza collisioni); deve essere computazionalmente impraticabile trovare una coppia (M, M’), con M’≠ M, tale che H(M) = H(M’) (funzione fortemente senza collisioni). L’idea è che, anche se necessariamente esistono messaggi diversi che producono lo stesso hash, non è praticabile trovarli. Corollario: Attacco ad una funzione hash Le due proprietà sull’assenza di collisioni (debole e forte), corrispondono a due diversi tipi di attacchi a forza bruta: z z attacco a forza bruta “semplice”: trovare un messaggio che produca un dato hash (cioè un hash uguale a quello di un messaggio dato); attacco del compleanno (birthday attack): trovare due messaggi che producano lo stesso hash, indipendentemente dal valore di questo hash. La complessità dei due attacchi è molto diversa! z se l’hash è lungo m bit, la complessità del primo è 2m, quella del secondo è 2m/2. Sim Card Capacità Crittografiche –MD5 MD5 è una funzione hash sicura Sim Card Capacità Crittografiche –MD5 Algoritmo di preprocessamento: 1- Il messaggio N viene riempito (padding) con altri bit in modo da diventare N=64 mod 512. Il padding è un 1 seguito da 0 fino a soddisfare la regola enunciata precedentemente. Se la misura originale è già corretta si aggiungono comunque 512 bit. 2- Viene aggiunto una sequenza di 64 bit che rappresenta la lunghezza del messaggio in input prima dello svolgersi del punto 1. 3- Dividiamo il messaggio in blocchi di 512 bit ed ogni blocco in 16 sottoblocchi mj da 32 bit. In questo modo otteniamo dei blocchi di 512 bit che andranno processati singolarmente tramite la funzione hash e il cui risultato sarà l’input della iterazione successiva. Con questo preprocesso ci assicuriamo che due messaggi (diversi) non vengono rappresentati nello stesso modo. Sim Card Capacità Crittografiche –MD5 Algoritmo: 1- 4 registri da 32 bit che rappresentano il digest vengono inizializzati con le seguenti 4 sequenze: A = 0x01234567 B = 0x89abcdef C = 0xfedcba98 D = 0x76543210 Dette Variabili di concatenamento (chaining variables). Ad ogni passo si fornisce il digest al passo successivo come input. 2- Copia il contento dei registri in 4 variabili a,b,c,d 3- Applica una funzione fp scelta tra 4 (F,G,H,I) a 3 registri scelti tra a,b,c,d 4- Aggiungi al quarto registro il risultato ottenuto nel passo 3 5- Somma il sotto-blocco di testo del messaggio, mj, al risultato ottenuto nel punto 4 Sim Card Capacità Crittografiche –MD5 6- Somma un valore costante Ti al risultato del punto precedente 7- Effettua una rotazione Sk verso destra, considerando il registro come circolare. 8- Sommo al risultato del passo 7 una delle altre tre variabili (in mod 232) e pongo il risultato al posto di quest’ultima, sostituisco il contenuto di ognuna delle altre tre con quella alla sua sinistra 9- ripeti 16 volte dal passo 3 al 8 con la stessa funzione scelta la prima volta e variando j e i 10- ripeti 4 volte dal passo 3 al 9 con una funzione hash diversa da quella o quelle utilizzate precedentemente, azzerando j e variando i e k. 11- somma i contenuti delle variabili a,b,c e d ai rispettivi registri A,B,C e D. 12- ripeti per ogni blocco di 512 bit dal passo 2 al 11. 13- concateno i registri A,B,C,D e ottengo il message digest. Sim Card Capacità Crittografiche –MD5 La funzione fp è scelta tra le seguenti: z z z z F(x,y,z) = (x and y) or (not x and z) G(x,y,z) = (x and z) or (y and not z) H(x,y,z) = x xor y xor z I(x,y,z) = y xor (x or not z). Sim Card Capacità Crittografiche –MD5 mj Tk Sim Card Capacità Crittografiche –MD5 Punti di forza del MD5: z Sicurezza: E’ computazionalmente difficile trovare due messaggi che danno lo stesso valore di hash. z Sicurezza Diretta: MD5 non è basato su nessuna assunzione, come la difficoltà della fattorizzazione. z Velocità: MD5 è integrabile per software ad alta velocità.E’ basata su semplici manipolazioni sui bit. z Semplicità e Compattezza: MD5 è semplice, senza strutture dati e programmi complicati. MD5 è stato attaccato con parziale successo da den Boer and Bosselaers. Idea: Evoluzione SHA. DSS e Teorema Cinese del Resto A cura di Luca de Angelis Teorema Cinese del Resto (1) Def: Siano m ed n due naturali primi tra loro; siano a,b ∈ ℤ. Allora il sistema di congruenze seguente, ha una soluzione in ℤ. ⎧ x ≡ a (mod n ) ⎨ ⎩ x ≡ b (mod m ) Inoltre, se x0 ∈ ℤ è una soluzione, le soluzioni del sistema sono tutti e soli gli interi x con: x ≡ x 0 (mod mn ) Teorema Cinese del Resto (2) Dimostrazione (prima parte): z 1) Soluzioni intere del tipo x=b+km, con k numero intero, se e solo se b+km è congruo a(mod n); 2) Poiché m ed n sono primi tra loro, segue che m ha inverso in ℤn; 3) Si calcola il numero k0 := m-1(a-b) e si moltiplica tutto per m; 4) Quindi si ha mk0=(a-b), cioè congruo ad (a-b)(mod n); 5) Segue che b+ mk0 è congruo ad a(mod n); 6) Da qui si trova x0 := b+ mk0 è una soluzione del sistema. Teorema Cinese del Resto (3) Dimostrazione (seconda parte): z 7) Sia x0 la soluzione precedente. 8) Un intero x è soluzione del sistema se e solo se è congruo ad x0 (mod n) e ad x0 (mod m); 9) Cioè se e solo se (x - x0) = m e (x - x0) = n; 10) Essendo m ed n primi tra loro questo si verifica se e solo se (x - x0) = mn = mn 11) Ossia se e solo se x è congruo ad x0 (mod mn). Cvd. Teorema Cinese del Resto (4) Def: Siano dati r numeri naturali n1, n2, …., nr a due a due primi tra loro; sia n = n1n2…nr. Siano inoltre a1, a2, …, ar r numeri interi. Allora il sistema di congruenze lineari x ≡ ai (mod ni ), 1 ≤ i ≤ r ha una soluzione in ℤ. Se l’intero x0 è una soluzione, allora le altre soluzioni del sistema sono tutti e soli gli interi x con: x ≡ x 0 (mod n1n 2 ...n r ) Digital Signature Standard (DSS) z z E’ uno standard per l’autenticazione e la firma digitale proposto dal NIST in collaborazione con l’NSA Il DSS non è un algoritmo, ma specifica una serie di algoritmi da utilizzare per implementarlo: z z z z DSA (raccomandato dal NIST) RSA ECDSA Viene anche specificata quale funzione hash utilizzare per comprimere il messaggio e per generare la firma: z SHA-1 (specificata nel relativo standard: SHS) Digital Signature Alghoritm (DSA) (1) z Parametri: z z z z z z p = numero primo, tale che 2L-1<p<2L con 21023≤L≤21024; q = numero primo, divisore di p-1 con 2159<q<2160; g = h(p-1)/qmod p, dove h è un intero e 1<h<p-1 tale che h(p-1)/qmod p>1; x = intero casuale o pseudocasuale con 0<x<q y = gxmod p k = intero casuale o pseudocasuale con 0<k<q Digital Signature Algorithm (DSA) (2) z z z I parametri p, q e g sono pubblici e possono essere condivisi con un gruppo di utenti x e y sono rispettivamente la chiave privata e la chiave pubblica k e x sono usati per generare la firma. Anche k deve essere segreto e viene rigenerato ogni volta Generazione della firma z La firma è la coppia di valori (r,s) così definiti: z z z z r = (gkmod p)mod q; s = (k-1(SHA-1(M)+xr)mod q. SHA-1(M) è una stringa di 160 bit che è l’output della funzione hash; k-1 è l’inverso moltiplicativo di k, mod q; Verifica della firma (1) Il destinatario conosce p, q, g e la chiave pubblica del mittente e riceve M’, r’, s’: z z z z z z z Se non è 0<r’<q e 0<s’<q allora la firma è violata; w = (s’)-1mod q; u1 = ((SHA-1(M’))w)mod q; u2 = (r’w) mod q; v = ((gu1yu2mod p) mod q. Se v=r’ la firma è corretta! Verifica della firma (2) Teo: Se nella firma ricevuta M’=M, r’=r e s’=s allora v=r’ Dimostrazione: z Si ha che: w = (s’)-1mod q = s-1mod q e s = (k-1(SHA-1(M)+xr)mod q segue che: (SHA-1(M)+xr)w mod q = k mod q; 2. u1 = ((SHA-1(M’))w)mod q = (SHA-1(M)w)mod q; 3. u2 = (r’w) mod q = rw mod q; 1. z Essendo y = gxmod p: 4. v = ((gu1yu2mod p) mod q = (g(SHA-1(M)+xr)wmod p) mod q = (gk mod p) mod q = r = r’. Cdd. Critiche a DSA z z z z z z Non può essere usato per la crittazione e la distribuzione di chiavi Æ Vero E’ stato sviluppato dall’NSA, quindi ci potrebbe essere una trapdoor Æ Forse E’ più lento di RSA Æ Sì e No RSA è uno standard de facto Æ Vero Può essere coperto da licenze Æ Vero La chiave è troppo corta Æ Era Vero Confronto DSA-RSA DSA RSA DSA con p, q, g in comune Generazione della chiave 14 sec Secret 4 sec Precalcolo 14 sec N/A 4 sec Generazione della firma 0.03 sec 15 sec 0.03 sec Verifica della firma 16 sec 1.5 sec 10 sec Secure Hash Standard (SHS) z Questo standard specifica 4 algoritmi hash sicuri, da utilizzare negli standard di firma digitale: z z z z z SHA-1; SHA-256; SHA-384; SHA-512. Sono sicuri perché sono unilaterali, e sono sia debolmente che fortemente senza collisioni Secure Hash Alghoritms z Ognuno dei 4 algoritmi può essere descritto in due passi: z z z Preprocessamento; Calcolo dell’hash. Gli algoritmi si differenziano principalmente per: z z z z Lunghezza del messaggio di input; Lunghezza del message digest; Lunghezza dei blocchi e delle word utilizzati dalle funzioni interne; Sicurezza rispetto all’attacco del compleanno. SHA - Proprietà Message Block Word MD Size Security Size (bit) Size (bit) Size (bit) (bit) (bit) SHA-1 <264 512 32 160 80 SHA-256 <264 512 32 256 128 SHA-384 <2128 1024 64 384 192 SHA-512 <2128 1024 64 512 256 SHA-1 Preprocessamento z Il preprocessamento deve essere eseguito prima del calcolo della funzione hash z Si può dividere in tre sotto-passi: 1. Padding del messaggio M; 2. Parsing del risultato in blocchi; 3. Setting dei valori iniziali. SHA-1 Padding z z z Lo scopo di questa operazione è far sì che la lunghezza del messaggio ottenuto sia un multiplo di 512 bits Se la lunghezza del messaggio M è di l bits, si aggiunge un “1” seguito da k zeri, con: l + 1 + k = 448 mod 512 Rimangono 64 bit che servono ad esprime la lunghezza del messaggio iniziale. SHA-1 Parsing z z z Lo scopo di questa operazione è dividere il messaggio ottenuto precedentemente in N blocchi di m bits In questo caso si divide in N blocchi da 512 bit: M(1), M(2), …, M(N) Ogni blocco è diviso in 16 word da 32 bit. Quindi l’i-esimo blocco si può esprimere in: M0(i), M1(i), …, M15(i) SHA-1 Settings z z Lo scopo di questa operazione è di settare il valore iniziale H(0) dell’hash In questo caso si hanno 5 word da 32 bit: H0(0) = 0x67452301 H1(0) = 0xefcdab89 H2(0) = 0x98badcfe H3(0) = 0x10325476 H4(0) = 0xc3d2e1f0 SHA-1 Calcolo dell’hash z z z E’ un algoritmo iterativo: l’hash di un passo dipende dall’hash del passo precedente; ogni iterazione calcola dei valori di A,B,C,D,E che vengono sommati ai successivi Ogni passo è composto da 4 round con 20 operazioni ciascuno; Ogni operazione è fatta da una funzione su tre variabili, scorrimenti ed addizioni simili ad MD5 SHA-1 Funzioni e Costanti z Ognuna delle 4 funzioni vale solo per 1 round e sono così definite (in ordine): ⎧Ch(x,y,z)= (x ∧ y) ⊕ (¬x ∧ z) ⎪Parity( x, y, z ) =x ⊕ y ⊕ z ⎪ f t ( x, y, z ) = ⎨ ⎪Maj( x, y, z) = (x ∧ y) ⊕ (x ∧ z) ⊕ ( y ∧ z ) ⎪⎩Parity( x, y, z ) =x ⊕ y ⊕ z z Sono usate 4 costanti. Una diversa per ogni round di un passo: K t ⎧ 2 • 2 32 = 5 a 827999 ⎪ ⎪ 4 ⎪ 3 • 2 32 = 6 ed 9 eba 1 ⎪ ⎪ 4 = ⎨ ⎪ 5 • 2 32 = 8 f 1 bbcdc ⎪ 4 ⎪ ⎪ 10 • 2 32 = ca 62 c 1 d 6 ⎪⎩ 4 SHA-1 Schema Operazione SHA-1 Algoritmo (1) 1. Si entra ne ciclo principale (FOR i=1 to N). Il blocco i-esimo M(i) è esteso fino a 80 word da 32 bit W0, W1, …, W79 in questo modo: 1. 2. 2. 3. Wt = Mt, con t = 0…15 Wt = (Wt-3⊕ Wt-8 ⊕ Wt-14 ⊕ Wt-16)<<<1, con t = 16…79 Si inizializzano 5 variabili a, b, c, d, e con i rispettivi valori dell’hash precedente Si entra nel ciclo interno: FOR t=0 to 79 TEMP = (a<<<5)+ft(b,c,d)+e+Wt+Kt e=d d=c c = b<<<30 b=a a = TEMP SHA-1 Algoritmo (2) 4. Si calcola l’i-esimo hash intermedio H(i): H0(i) = a + H0(i-1) H1(i) = b + H1(i-1) H2(i) = c + H2(i-1) H3(i) = d + H3(i-1) H4(i) = e + H4(i-1) 5. Alla fine il Message Digest viene calcolato concatenando i valori riportati dal passo n-esimo: H0(N) || H1(N) || H2(N) || H3(N) || H4(N) z Il risultato finale è una stringa di 160 bit SHA-1 Sicurezza z z Finora non si conoscono attacchi contro SHA-1 Poiché produce un Message Digest di 160 bit, è più sicuro agli attacchi brute force degli algoritmi che producono MD a 128 bit (in primis MD4 e MD5) SHA-1 vs MD5 Il modello di sicurezza nel GSM A cura di Paola Ranaldi Introduzione Tutto l'intero costrutto per la sicurezza si fonda su criteri inerenti l'identificazione dell'abbonato, introdotti specificamente con il sistema GSM. L'abbonato è identificato univocamente dal codice IMSI che, unitamente alla chiave personale di autenticazione Ki, costituiscono le credenziali di identificazione. L'innovazione particolare è che le procedure di autenticazione e crittografia al fine di garantire maggiore sicurezza e protezione nel sistema si esplicano in modo che queste informazioni non vengano trasmesse sul canale radio. Precisamente, per l'autenticazione si utilizza un meccanismo di tipo challenge-response, mentre per la crittografia dei dati trasmessi si adotta una chiave di sessione Kc, ed anch'essa non viene mai trasmessa sul canale radio. Mobile Station (MS) z Mobile Equipment(ME): Dispositivo mobile fisico Identificatori: z IMEI – International Mobile Equipment Identity Subscribe Identity Module(SIM) Smart Card che contiene le chiavi, gli identificatori e gli algoritmi Idenificatori: Ki – chiave di identificazione del sottoscrittore IMSI – International Mobile Subscriber Identity TMSI – Temporary Mobile Subscriber Identity MSISDN – Mobile Station International Service Digital Network PIN – Personal Identity Number protecting a SIM LAI – location area identity ¾ Il modello di sicurezza del GSM è basato su un segreto condiviso tra l’HLR della rete di appartenenza del sottoscrittore e la carta SIM del sottoscrittore: Ki Gli algoritmi z Algoritmo di autenticazione della MS (A3) z Algoritmo di generazione della chiave di sessione (A8) z Algoritmo di autenticazione e generazione della chiave di sessione (COMP128) z Algoritmo di cifratura (A5) Autenticazione della MS (A3) e generazione di Kc di sessione (A8) z z Quando la MS vuole comunicare con la rete GSM,entrando nell’area di una MSC invia una richiesta di accesso alla BTS che la inoltra alla MSC Alla richiesta di identificazione della MS alla rete, l’HLR fornisce alla MSC cinque tuple contenenti: z RAND, un numero casuale a 128 bit SRES, calcolata su RAND e sulla chiave Ki , utilizzando l’algoritmo A3 Kc, la chiave di sessione. Essa viene calcolata mediante l’algoritmo A8 che prende in input RAND e ki L’MSC invia la RAND della prima tupla alla MS IMSI / TMSI SIM RICHIESTA D’ACCESSO RETE GSM GEN. RANDOM RAND RAND Ki A3 A3 SRES A8 A8 TRATTA RADIO KC ki Autenticazione della MS (A3) e generazione di Kc di sessione (A8) z z z z La MS calcola una SRES con l’algoritmo A3 utilizzando la RAND ricevuta dalla MSC, e la chiave Ki che risiede nella SIM La MS invia la SRES alla MSC La MSC confronta la SRES inviatagli dalla MS con quella contenuta nella tripla del HLR La MS calcola la chiave di sessione Kc mediante l’algoritmo A8 che prende in input RAND e ki IMSI/TMSI SIM RICHIESTA D’ACCESSO RETE GSM GEN. RANDOM RAND RAND Ki A3 A3 SRES A8 SRES ?= SRES SRES KC A8 KC TRATTA RADIO ki Crittografia dei dati trasmessi ( A5) La chiave di sessione kc viene usata per la codifica sul canale via etere. La stessa kc viene utilizzata fin quando l’MSC non identifica nuovamente la MS, nel qual caso ne viene generata una nuova ME SIM ki Fn Data RAND RAND A8 A8 kc kc A5 A5 XOR Ciphertext XOR ki OPERATORE GSM Fn Data Elementi del sistema GSM SIM: A3, A8; IMSI\TMSI Ki MS: A5 BTS: A5; Kc NS (Network Subsystem) MSC AuC Æ VLR; HLR; EIR; A3, A8 IMSI\TMSI, LAI, Ki gen. Num. pseudocasuali Sicurezza della rete z La scelta di generare un numero casuale (RAND) è dovuta al fatto che se tale stringa non fosse generata, il valore SRES trasmesso dalla MS alla BTS sarebbe sempre lo stesso: si potrebbe dunque effettuare un attacco a ripetizione z Sia l’A3 che l’A8 sono memorizzati nella SIM. Questo significa che l’operatore può decidere quali algoritmi utilizzare indipendentemente dai produttori di hardware e dagli altri operatori. Infatti, l’autenticazione funziona anche negli altri paesi, poiché le reti locali chiedono le 5 triple all’HLR della rete di appartenenza dell’abbonato. Così la rete locale non deve sapere niente riguardo gli algoritmi A3 ed A8 utilizzati. z L’abbonato è identificato univocamente dal codice IMSI e dalla chiave personale di autenticazione ki z Per la crittografia dei dati trasmessi si adotta una chiave di sessione Kc Î per garantire maggiore sicurezza e protezione del sistema le procedure di autenticazione e crittografia si esplicano in modo che IMSI, Ki e kc non vengano mai trasmesse sul canale radio . L’anonimato z z z z z z z z Quando una MS entra in un’area MSC diversa e accende il segnale radio utilizzando per la prima volta la SIM, obbligatoriamente viene usata la sua vera identità IMSI. Per proteggere l’IMSI di un utente suLl’interfaccia aerea L’IMSI, non appena conclusa con successo l’autenticazione, viene sostituita con un’identificazione provvisoria TMSI, ed è proprio questa ad essere resa pubblica nella rete e ad essere utilizzata in tutte le comunicazioni successive Appena si conclude con successo l’autenticazione, la rete assegna alla SIM un TMSI e lo trasmette in forma cifrata alla MS dove poi viene decifrato L’MS risponde confermando l’avvenuta ricezione e memorizza Il TMSI nella SIM. Da questo momento, per tutte le comunicazioni successive, il codice TMSI è utilizzato al posto del codice IMSI Il codice TMSI è valido solo nella Location Area (LA) in cui è stato rilasciato. Per comunicazioni al di fuori della LA è necessario l’utilizzo del LAI in aggiunta al TMSI Ogni volta che si compie una Location Updating il VLR assegna una nuova TMSI alla MS e la invia insieme al messaggio che comunica l’esatto aggiornamento della localizzazione (Location Updating Accept) Il codice TMSI, quando il processo di crittografia è stato attivato può essere riallocato anche in caso di altri accessi alla rete (TMSI ReallocationRequest-TMSI Reallocation Confirmation) Comp128 Invece di utilizzare due algoritmi distinti, A3 ed A8, la maggior parte degli operatori GSM utilizza un unico algoritmo, chiamato COMP128. Ki (128 bit) , RAND (128 bit) A3 SRES (32 bit) ALGORITMO DI AUTENTICAZIONE Ki (128 bit) , RAND (128 bit) A8 Kc (64 bit) ALGORITMO DI GENERAZIONE DELLA CHIAVE DI SESSIONE KC Comp128 Invece di utilizzare due algoritmi distinti, A3 ed A8, la maggior parte degli operatori GSM utilizza un unico algoritmo, chiamato COMP128. Ki (128 bit) , RAND (128 bit) Comp128 SRES (32 bit) , Kc (54 bit) Comp128 1. z z Vengono creati: Un array x[ ] formato da 32 byte Un array bit[ ] formato da 128 byte Negli ultimi 16 byte di x[ ] viene immesso RAND presente in input Comp128 2. Viene creata un’iterazione per cui per 8 volte vengono eseguiti i seguenti passi: Comp128 3. Viene creato l’array simoutput[ ] di 96 bit dei quali: z z I primi 32 rappresentano SRES Gli altri 64 ( di cui gli ultimi 10 sono sempre posti uguali a zero) rappresentano la chiave kc Comp128 z Il COMP128 e' considerato un algoritmo debole In generale anche gli altri algoritmi utilizzati dal GSM lo sono. Infatti: z gli ultimi 10 bit della chiave di sessione kc sono posti uguali a zero. Lo spazio delle chiavi si riduce da 264 a 254 . Si è riscontrato che questo avviene in tutte le implementazioni di A3/A8, incluse quelle che non usano COMP128 per la generazione della chiave e sembra sia una caratteristica voluta. z In realta' vi e' il forte e fondato sospetto che siano utilizzati proprio per questo. Durante il processo di standarizzazione del protocollo piu' volte diversi governi si espressero a favore di algoritmi deboli per rendere possibile l'intercettazione ed il controllo delle chiamate. Algoritmo di cifratura A5 L’algoritmo A5 è lo stream cipher utilizzato per cifrare i frame che vengono inviati via etere Ciascun frame contiene 114 bit e rappresenta una parte della comunicazione tra MS e BTS e viceversa. I cifratori di tipo stream cipher operano bit a bit producendo per ogni bit di testo in chiaro un singolo bit cifrato in uscita. z z z MS Fn (22 bit) Kc (64 bit) Kc (64 bit) A5 A5 114 bit Data(114 bit) XOR OPERATORE GSM Fn (22 bit) 114 bit Ciphertext (114 bit) XOR Data (114 bit) Algoritmo di cifratura A5 Uno stream cipher è tipicamente implementato come un exclusive-or(XOR) tra il flusso dei dati ed una opportuna sequenza di bit chiave (keystream). L’efficacia in termini di sicurezza dipende quindi dalle proprietà della Keystream: una keystream completamente casuale è certamente più efficace di una deterministica a breve periodo z z OPERATORE GSM MS Kc (64 bit) Kc (64 bit) Fn (22 bit) A5 A5 keystream (114 bit) Data(114 bit) XOR Ciphertext (114 bit) Fn (22 bit) keystream (114 bit) XOR Data (114 bit) Algoritmo di cifratura A5 Fn è il numero del frame da cifrare z Kc viene utilizzata per tutta la sessione, durante la quale il numero del frame cambia Î Viene generata un’unica keystream per ciascun frame z Una telefonata può essere decifrata qualora l’attaccante conosca Kc in quanto il numero di frame viene trasmesso in chiaro z OPERATORE GSM MS Kc (64 bit) Kc (64 bit) Fn (22 bit) A5 A5 keystream (114 bit) Data(114 bit) XOR Ciphertext (114 bit) Fn (22 bit) keystream (114 bit) XOR Data (114 bit) Algoritmo di cifratura A5 I tre LFSR z z Il generatore delle keystream è costituito da 3 LFSR di lunghezze differenti. Organizzati in modo non lineare, che corrispondono ai tre polinomi delle connessioni: z X19 + x5 + x2 + x + 1 z x22 + x + 1 z x23 + x15 + x2 + x + 1 Tali polinomi sono stati scelti primitivi in modo che i corrispondenti registri abbiano periodo massimale: il periodo massimo di un registro a K bit è 2k -1 Algoritmo di cifratura A5 I tre LFSR z z La lunghezza totale dei tre LFSR è di 64 bit. Gli LFSR sono lunghi rispettivamente 19, 22 e 23 bit e le funzioni utilizzate sono polinomi di feedback sparsi. Tutti e tre i registri sono temporizzati in base al valore del loro bit centrale Algoritmo di cifratura A5 I tre LFSR z Ad ogni passo ciascun registro viene shiftato se il suo bit centrale concorda con il valore di maggioranza dei bit centrali dei tre registri. Per esempio, se i bit centrali dei tre registri sono rispettivamente 0,1 e 1, gli ultimi due registri vengono shiftati, invece se i bit centrali sono rispettivamente 0, 1 e 0, allora vengono shiftati il primo ed il terzo registro. Così, ad ogni round, vengono shiftati almeno due registri. Lo XOR dei bit meno significativi dei tre registri rappresenta un bit della keystream. Algoritmo di cifratura A5 I tre LFSR: inizializzazione z z I tre LFSR vengono inizializzati con una combinazione non lineare della chiave di sessione Kc ed il numero di frame . I 64 bit di Kc vengono inizialmente caricati nei tre registri r1, r2 ed r3 bit a bit, in modo sequenziale. Durante il caricamento dei bit della chiave, la regola di shift dei registri che contengono i bit di maggioranza è disabilitata. Il caricamento dei bit viene mostrato nel seguente esempio: Algoritmo di cifratura A5 I tre LFSR: inizializzazione z Dopo il caricamento dei bit della chiave di sessione ciascuno dei 22 bit del numero di frame viene messo in XOR con i tre valori di feedback dei registri stessi. Durante il caricamento di ciascun bit del numero di frame, vengono shiftati i registri il cui bit centrale concorda con il bit di maggioranza. Algoritmo di cifratura A5: la keystream di output Dopo che i registri sono stati inizializzati con la chiave di sessione Kc ed il numero del frame corrente: z z z z i primi 100 bit di output della keystream vengono scartati allo scopo di distribuire i bit del numero di frame in modo casuale nei tre LFSR; vengono prodotti 114 bit di output della keystream, che vengono utilizzati per cifrare il frame da MS a BTS; vengono scartati altri 100 bit di output dell keystream per nascondere la relazione tra i primi 114 bit ed i succesivi 114 bit della keystream; vengono prodotti 114 bit di output della keystream, che vengono utilizzati per decifrare il frame successivo ricevuto dalla BTS. Ad ogni passo, viene prodotto un bit della keystream. L'algoritmo restituisce una keystream di 228 bit. La cifratura effettiva avviene mettendo in XOR 114 bit della keystream e 114 bit del messaggio in chiaro. Successivamente, l’algoritmo A5 viene reinizializzato con la stessa chiave Kc ed il numero del frame successivo. Algoritmo di cifratura A5: z Esistono tre versioni dell’ algoritmo A5: z A5\1 : la versione più forte e meno diffusa z A5\2 : la versione più debole per cui non esistono limiti di esportazione z A5\3 : la nuova versione, non ancora utilizzata nei sistemi GSM z L’A5 è stato giudicato “troppo sicuro” per essere esportato dagli USA in medioriente. Così l’algoritmo originale è stato rinominato A5\1, mentre le successive versioni sono indicate con A5\X Nel 1998 due ricercatori della California University di Berkeley sono riusciti a rompere gli algoritmi A5\2+A3\A8 ponendo seriamente in evidenza la responsabilità di enti governativi (la CIA e l’NSA)nella scelta di algoritmi così deboli L’anno successivo il gruppo di Berkley annuncia di aver violato con successo anche l’A5\1 z z Poche garanzie di riservatezza z E’ possibile concludere che intercettare e decrittare al volo una telefonata sia fattibile per chi abbia a disposizione mezzi e risorse (10000 dollari è la stima per un’apparecchiatura di intercettazione di alta qualità). z In realtà ascoltare le nostre conversazioni è molto più semplice: l’architettura GSM prevede che la conversazione sia cifrata dal telefono alla cella, la BTS, ma da questo punto in poi il traffico viaggia in chiaro. Così l’operatore e le autorità competenti non avranno difficoltà ad ascoltare le telefonate. z Allora la scelta di algoritmi deboli è da imputarsi a progetti di controllo e di spionaggio non legati alla collaborazione con un operatore, a cui può far comodo intercettare una telefonata senza l’autorizzazione o la collaborazione di qualcuno. Attacchi alla Sicurezza nel GSM A cura di Marco Canu Cronologia degli Attacchi z z z z z z 1991 z Prima Implementazione del GSM. Aprile 1998 z La “Smartcard Developer Association” (SDA) assieme a dei ricercatori di Berkeley ha rotto l’algoritmo COMP128 registrato nella SIM riuscendo a ricavare Ki nell’arco di alcune ore. Scoprendo tra l’altro che la chiave di sessione Kc utilizza solo 54 bits. Agosto 1999 z Il debole A5/2 è stato rotto con un semplicissimo PC nell’arco di pochi secondi. Dicembre 1999 z Alex Biryukov, Adi Shamir e David Wagner hanno pubblicato lo scema di rottura del più resistente algoritmo A5/1. In una conversazione di 2 minuti, e con un tempo di attacco nell’ordine di 1 secondo. Maggio 2002 z Il gruppo di ricerca dell’IBM ha scoperto una nuova strada per estrarre velocemente la chiave del COMP128 utilizzando un attacco basato su SIDE EFFECTS. Settembre 2003 z Un gruppo di ricercatori israeliani del Technion Insitute of Technology di Haifa è riuscito a violare il sistema GSM basato sulle code di correzione dell’errore. Tipologie di Attacchi z Algoritmi di Cifratura (Attacchi all’Algoritmo A5/x) z Attacco Brute-Force z Attacco Divide-and-Conquer (Known Plaintext) z Time-Memory Trade-Off z SIM Card (Recupero della chiave ki ) z Attacchi Logici z Attacchi Fisici z Rottura dell’Algoritmo COMP128 z z z Attacco Chosen Challeng Partitionin Attack Architettura di Rete (Insicurezza strutturale della Rete) z Intercettazione Segnali Operazioni di Rete z Recupero Chiave dall’Authentication Center (AuC) Algoritmo A5/1 Debolezza della Chiave z Un gruppo di ricercatori dell’Università della California ritiene che la semplicità nel rompere l’A5/1 sia dovuta al fatto che il governo lo abbia deliberatamente indebolito per fini di sorveglianza delle comunicazioni. z Sebbene l’A5/1 utilizzi una chiave a 64 bit, i ricercatori hanno scoperto che gli ultimi 10 bit sono settati a 0 Questo significa che con computer estremamente potenti, a disposizione delle varie agenzie governative, potrebbe essere possibile, abbastanza velocemente, decodificare una conversazione. z Algoritmi A5/x z A5/1 utilizzato nei paesi europei (Kc di 54 bit) z A5/2 utilizzato negli USA (Kc di 16 bit) z A5/0 utilizzato in medio oriente (non cifra la comunicazione) Algoritmo A5/1 Attacco Brute-Force z Un attacco Brute-Force in Real-Time non è realizzabile, essendo la complessità di tale attacco di 254 operazioni. z E’ altresì possibile memorizzare i frame della comunicazione tra MS e BTS e lanciare l’attacco successivamente. z Con un calcolatore PIV 3GHz con 55M transistor, se l’implementazione di tre LFSR richiedesse circa 2000 transistor, la ricerca esaustiva nello spazio delle chiavi richiederebbe circa 25 ore. (15 giorni con un PIII 600MHz) z Possibilità di ridurre la complessità (riducendola di 1/3) interrompendo la ricerca su una particolare chiave appena si incontra un bit non valido nella Keystream. Algoritmo A5/1 Attacco Divide-and-Conquer z z z z z z z Riduce la complessità da 254 tentativi dell’attacco di forza bruta a 245 (29=512) Attacco known-plaintext. Tenta di determinare lo stato iniziale degli LFSR da una sequenza di keystream conosciuta. E’ sufficiente conoscere solo 64 bit consecutivi della keystream calcolati dalle coppie testo in chiaro-testo cifrato a lui note. Attacco implementato indovinando il contenuto dei due LFSR più corti e computando il terzo dalla keystream conosciuta mediante la risoluzione di equazioni lineari appropriate. Questo attacco richiederebbe in media 240 tentativi, nell'ipotesi in cui gli shift dei primi due registri non fossero dipendenti dal terzo registro. J.Golic ha proposto un altro attacco divide-and-conquer basato sulle stesse assunzioni con la complessità media di circa 240. z z 262.32 stati interni possono essere raggiunti a partire dai 264 stati iniziali da cui è possibile ottenere, indovinando n bit dei primi due registri, delle semplici equazioni lineari. La cui risuluzione ha complessità media di 240.16 J. Golic: Ulteriore attacco Trade-Off Tempo-Memoria basato sul Paradosso del Compleanno. Algoritmo A5/1 A5/2 ed Attacco Man-in-the-Middle Attacco ad A5/2 z z z z z z Chiave Kc di 16 bit Attacco Known-Plaintext Basso ordine algebrico. Code di correzione dell’errore. Complessità Temporale inferiore ad 1 sec. Attacco Man-in-the-Middle z z z z L’attaccante si finge BTS e MS in fasi successive Riceve la comunicazione crittata da MS (calcolato con A5/2) Ottiene Kc dal frame ricevuto conosciendo il numero di frame Recupero della Chiave Ki Attacco Fisico alla SIM e Rottura COMP128 z La chiave Ki è il cardine della sicurezza nel GSM z z Capacità del Sistema di Individuare chiamate contemporanee z z z z z Se l’attaccante è interessato solo all’ascolto delle chiamate dell'abbonato resta invisibile alla rete GSM. La SDA (The Smartcard Developers Association) e l'ISAAC (Internet Security, Applications, Authentication and Cryptography) hanno scoperto un difetto nell’algoritmo COMP128 che rende capaci effettivamente di recuperare la chiave segreta Ki, dalla SIM. L’attacco richiede l'accesso fisico alla SIM ed è di tipo chosen-challenge. La chiave segreta può essere dedotta dalle risposte SRES mediante crittoanalisi differenziale. Se il lettore di smartcard utilizzato per implementare l’attacco lancia 6.25 query al secondo alla SIM, l’attacco richiede circa 8 ore per essere portato a termine. z z Una volta recuperata la chiave si ha completo accesso ai servizi dell’utente truffato. Necessari 217.5 challange alla SIM, per generare le SRES e le chiavi di sessione Kc Applicazione dell’Ingengeria Sociale Attacco al COMP128 Tipologia e Complessità Temporale z z z z z Il COMP128 è un algoritmo di autenticazione. Ampiamente utilizzato dai Service Provider del GSM. Si tratta di un attacco di tipo chosen-challenge attack. Nel quale si formulano alla SIM una serie di richieste tratte da uno specifico insieme di input. La SIM applica l’algoritmo alla propria chiave segreta e all’insieme di input scelti, restituendone la risposta. L’analisi delle risposte porta alla comprensione ed alla rottura dell’algoritmo, con la conseguente individuazione della chiave. Realizzare tale attacco richiede un accesso alla SIM (sia esso logico o fisico), ed un semplice pc per elaborare le operazioni. E’ necessario interrogare la Smart Card per almeno 150.000 volte, mentre sono necessari calcoli aggiuntivi relativamente irrisori. Sebbene l’algoritmo fosse segreto, lo studio e la sua comprensione sono stati resi possibili dalla lettura di documenti pubblici e dall’analisi del comportamento di un elevato numero di Carte. Attacco al COMP128 Debolezza e “Trucchi” per la crittoanalisi z z z L’attacco si basa sull’esistenza di una “pipe'' all’interno del COMP128. In particolare i bytes i,i+8,i+16,i+24 all’output del secondo round dipendono unicamente dai bytes i,i+8,i+16,i+24 che sono in input all’algoritmo. In particolare: z I Bytes i,i+8 dell’input sono i bytes i,i+8 della chiave, z I bytes i+16,i+24 dell’input sono i bytes i,i+8 dell’input di prova. L’attacco si basa quindi sulla variazione dei bytes i+16,i+24 di input (i.e. I bytes i,i+8 del challenge) mantenendo costante il resto dell’input. Il paradosso del compleanno ci garantisce una rapida collisione dei bytes i,i+8,i+16,i+24 dell’output dopo due round. Tale collisione sarà evidenziata dalla collisione dell’output dell’algoritmo. Ogni collisione ci permette di apprendere due bytes i,i+8 con l’analisi dei primi 2 round. z ``2-R attack'', nella terminologia della Crittoanalisi Differenziale. Recupero della Chiave Ki Attacco Logico alla SIM: via Etere z z I ricercatori dell'SDA (The Smartcard Developers Association) e dell’ISAAC (Internet Security, Applications, Authentication and Cryptography) sono sicuri che l'attacco precedentemente descritto possa essere lanciato anche via etere. L’attacco via etere è basato sul fatto che la MS deve rispondere ad ogni challange inviatagli dalla BTS. z z z Un attaccante potrebbe impersonare la BTS legittima inviando alla MS obiettivo delle challenge per risalire alla chiave segreta mediante le risposte a queste challenge. Durata ipotetica 8-13 ore. Possibilità di dividere l’attacco in più momenti. Insicurezza Strutturale della Rete Intercettazione Segnali delle Operazioni di Rete z z z z Le trasmissioni sono cifrate solo tra la MS e la BTS. Dopo la BTS, i segnali vengono trasmessi in chiaro nelle operazioni di rete. Le comunicazioni avvengono via Cavo, ma anche attraverso le microonde e le comunicazioni satellitari. La rete di segnalazione SS7 utilizzata dagli operatori della rete GSM è completamente insicura se l’attaccante ne guadagna l’accesso diretto. Se l’Attaccante potesse accedere a tale rete potrebbe: z z z z Conoscere RAND, SRES e Kc consentendogli l’intercettazione on-the-fly di qualsiesi chiamata. Provare ad accedere all’HLR (Home Location Register) di una particolare rete. Conoscere la chiave Ki di tutti gli abbonati. Attacchi di Ingegneria Sociale Insicurezza Strutturale della Rete Recupero della Chiave dall’AuC z z z z z Lo stesso attacco utilizzato per il recupero di Ki da una SIM card può essere utilizzata per recuperare la chiave Ki dall’AuC. La procedura di base è identica alla procedura utilizzata nella MS per accedere alla SIM. L’Authentication Center risponde alle richieste fatte dalla rete GSM e restituire triple valide da utilizzare nell'autenticazione della MS. La differenza è che l’AuC è molto più veloce nel processare le richieste di quanto non lo sia la SIM card. La sicurezza dell’AuC gioca un ruolo fondamentale riguardo alla possibilità di eseguire o meno questo attacco. Intercettazione delle Chiamate Sebbene: z z zVari Sia stato rotto l’algoritmo COMP128 Siano state messe appunto strategie per attaccare gli A5/x di cifratura delle conversazioni scienziati nel mondo sembrano essere unanimi sul fatto che l’intercettazione e la decodifica real-time di una chiamata via-etere sia ancora impossibile nonostante lo spazio delle chiavi sia ridotto. zEsistono, tuttavia, altri tipi di attacchi al sistema che sono attuabili e sembrano essere minacce molto reali. Sono stati, infatti, implementati alcuni attacchi che non sfruttano nessuno dei difetti degli algoritmi di sicurezza. Side-Effects and Partitioning Attack z z z z z IBM ha lanciato l'allarme su una vulnerabilità delle SIM card, che gli hacker potrebbero utilizzare per rubare le chiavi crittografiche segrete di un cellulare e sostituirsi al legittimo proprietario per fare tutte le chiamate che desiderano. Attraverso il baco si puo' portare un nuovo tipo di attacco side-channel, denominato 'partitioning attack'. Monitorando i side-channels, come ad esempio il consumo di energia o l'emanazione elettromagnetica (EM), un hacker potrebbe ottenere in pochi minuti le chiavi segrete contenute nelle SIM card con tutte le informazioni sull'identità dell'utente. Un attacco di questo tipo è molto più facile del tentativo di decodificare gli algoritmi crittografici delle chiavi o di estrarle direttamente dal microchip. Le SIM card destinate ai cellulari GSM utilizzano gli algoritmi crittografici COMP128, o suoi derivati, per registrare i dati identificativi dell'utente e delle sue attività. Osservando con un computer i side channels è possibile estrarre le chiavi COMP128 da una SIM card. Assunzioni Crittografiche Tradizionali Traditional Cryptographic Attacks Smart Card Input Output Crypto Processing Sensitive Information Informazioni attualmente disponibili Side Channels •Power Consumption •Electromagnetic radiation •Timing •Errors •Etc. Side Channel Attacks Smart Card Input Output Crypto Processing Sensitive Information Analisi del consumo energetico durante l’esecuzione del DES z Simple Power Analysis delle operazioni DES compiute da una tipica Smart Card z z Sopra: Permutazione iniziale, 16 round DES, permutazione finale Sotto: Vista dettagliata del secondo e terzo round Partitioning Attack on COMP128 z z z z Successi dell’attacco z Derivata la chiave Ki contenuta nella SIM card Cardinal Principle z I bit rilevanti dei cicli intermedi ed il loro valore dovrebbero essre statisticamente indipendenti dall’input, dall’output e dalle informazioni sensibili. Idea dell’Attacco z Trovare una violazione del Cardinal Principle, ovvero la presenza di effetti collaterali con segnali che dipendano dall’input, dall’output e dalle informazioni sensibili. z Tentare di esplicitare le relazioni statistiche sui segnali per ricavare informazioni sensibili. L’algoritmo si basa sulla partizione successiva di una tabella, inizialmente da 512 bit in tabelle di dimensioni dimezzate ad ogni passo e sulla possibilità di: z Individuare l’accesso ad una particolare tabella attraveso canali collaterali. Scoperta Falla nel sistema di crittografia delle comunicazioni GSM z z Prof. Eli Biham e i dottorandi Elad Barkan e Nathan Keller “Elad ha scoperto una falla nel sistema di sicurezza della tecnologia GSM - ha detto Biham - Durante il setup, il protocollo non agisce nel modo corretto. Il sistema GSM infatti prima accede ai dati per eliminare interferenze e rumori e solo in un secondo momento effettua la crittografia dei dati. Ovvio che durante la prima fase, i dati sono accessibili a chiunque. Quando Elad me l’ha detto, non ci volevo credere. Poi abbiamo provato e riprovato e purtroppo era tutto vero “ Possibili miglioramenti z z z z z La sicurezza potrebbe essere migliorata in alcuni punti con misure relativamente semplici: utilizzazione da parte dell’operatore di un algoritmo crittograficamente sicuro al posto di COMP128 impiegare una nuova implementazione di A5 con una forza crittografica tale che un attacco brute-force non sia ammissibile in nessun caso cifrare il traffico tra gli operatori della rete centrale e tra le componenti della rete. Ciò neutralizzerebbe gli attacchi ai segnali della rete Nessuno dei miglioramenti precedenti è troppo difficile da mplementare. Essi presentano tutti nuove spese prevalentemente a carico degli operatori di rete e non sono, quindi, molto allettanti dal loro punto di vista. Così, questi miglioramenti non saranno implementati fino a quando l’insicurezza delle reti GSM non diventi di pubblico dominio e gli operatori di rete non siano forzati a migliorare la sicurezza della rete. Tutti e tre i miglioramenti sarebbero necessari per la sicurezza della rete contro tutti gli attacchi introdotti in questa trattazione. Conclusioni z z z z z z Il modello di sicurezza del GSM è stato rotto a più livelli ed è, così, vulnerabile ai numerosi attacchi contro parti differenti della rete dell’operatore. Anche assumendo che tutti gli algoritmi di cifratura non siano stati rotti, l’architettura GSM sarebbe ancora vulnerabile agli attacchi che hanno come obiettivo la rete centrale dell’operatore o l’HLR ed ai vari ambiti dell’ingegneria sociale nei quali l’attaccante corrompe un impiegato dell’operatore, ecc. E’ stato provato che gli algoritmi di cifratura che vengono utilizzati dal sistema GSM sono difettosi. L’algoritmo A5 utilizzato per la cifratura del canale di trasmissione viaetere è vulnerabile agli attacchi known-plaintext e divide-and-conquer e lo spazio delle chiavi, che è stato intenzionalmente ridotto, è abbastanza piccolo da rendere ammissibile anche un attacco brute-force. Dato che l'algoritmo COMP128 utilizzato dalla maggior parte delle reti GSM è difettoso, se fossero fondate le affermazioni dell'ISAAC, la chiave segreta Ki potrebbe essere recuperata con un attacco chosenchallange in poche ore. Non si può assumere che il modello GSM fornisca una sicurezza completa contro un eventuale attaccante. Le risorse necessarie dipendono dall’attacco scelto. Così, non si può fare affidamento solo sul modello di sicurezza GSM qualora si trasferiscano dati confidenziali sulla rete. In aggiunta alla possibilità di intercettazione di una chiamata, anche il difetto della funzione COMP128 rende il cloning della SIM una minaccia, abilitando così un attaccante ad effettuare chiamate a spese di qualcun altro. Comunque, la realtà è che sebbene lo standard GSM sia stato ideato per correggere i difetti dei sistemi di telefonia mobile analogici, tali obiettivi non sono stati raggiunti. Lo standard GSM corrente e la sua implementazione permettono sia il cloning dell’identità del sottoscrittore che l’intercettazione di una chiamata Sim Card Bibliografia z z z z z Funzioni hash sicure – Davide Cerri (dispense) Applied Cryptography - Bruce Schneier La sicurezza nel GSM e le Sim Card Crittologia – Berardi, Beutelspacher Matematica discreta - Berardi, Beutelspacher E in più www.google.it ricerca GSM, SIM CARD, MD5,A5/2,A5/1,A5/0 storia del gsm, COMP128,SHA, teoreme cinese del resto,A3,A8,MD4,Smart Card,attacchi al GSM, etc...
