TLS, browsery a šifrovací algoritmy

7.8.2013 21:11 | Přečteno: 2198× | Nevědecké pokusy

Používání SSL, resp. dnes už spíše TLS patří k základním metodám zvýšení bezpečnosti komunikace. Ovšem jak bezpečná komunikace opravdu bude, záleží na tom, jak se klient a server dohodnou. Přináším pár informací o tom, jak k tomu různé prohlížeče přistupují.

Posílat jakékoli citlivé informace (přihlašovací hesla, citlivé osobní údaje, firemní know-how atd.) obyčejnými komunikačními prokololy je poměrně riskantní. Ucho přiložené na drátech je snadno odposlechne a následně je lze zneužít. V případě možnosti zasahovat do přenosové trasy lze data i pozměnit, aniž by to komunikující strny mohly zjistit. Proto je ve všech takových případech potřeba komunikaci náležitě chránit. Základní úroveň zabezpečení poskytuje TLS (případně starší technologie SSL), samozřejmě s patřičným ověřování certifikátů a s výběrem šifrovacích algoritmů.

Právě těchto algoritmů se buduou týkat následující řádky. Aby se dalo vůbec komunikovat šifrovaně, musí obě strany (tedy obvykle klient a server, ale u peer-to-peer komunikace je to obdobné) zvládat stejný šifrovací algoritmus. Totéž se týká i algoritmů pro výměnu klíčů. Obvykle má každá ze stran k dispozici poměrně širokou škálu algoritmů (kombinací šifrování a výměny klíčů) a volí se jak podle konfigurace, tak podle podpory u protistrany.

Proto je zajímavé se podívat, jak k tomu různé programy přistupují. Následující srovnání se bude týkat jen webových prohlížečů, a to ve verzi pro Windows. Serverovou protistranou bude vždy server Apache 2.2.16 s modulem GnuTLS (tedy nikoli OpenSSL, jak je běžné; historickým důvodem používání byla podpora TLS 1.1, která v době instalace nebyla u OpenSSL ještě k dispozici) a s nastavením GnuTLSPriorities SECURE. Uvedené nastavení zajišťuje použití všech podporovaných algoritmů považovaných za bezpečné, a to v pořadí podle úrovně bezpečnosti. Jednotlivé prohlížeče jsou ve výchozím nastavení, jen u Opery si tím nejsem zcela jistý, protože nemohu vyloučit, že jsem někdy v minulosti s nastavením manipuloval.

Mozilla Firefox 23

Podporované algoritmy:

TLS_EMPTY_RENEGOTIATION_INFO_SCSV (0x00ff)
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)
TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA (0x0088)
TLS_DHE_DSS_WITH_CAMELLIA_256_CBC_SHA (0x0087)
TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039)
TLS_DHE_DSS_WITH_AES_256_CBC_SHA (0x0038)
TLS_ECDH_RSA_WITH_AES_256_CBC_SHA (0xc00f)
TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA (0xc005)
TLS_RSA_WITH_CAMELLIA_256_CBC_SHA (0x0084)
TLS_RSA_WITH_AES_256_CBC_SHA (0x0035)
TLS_ECDHE_ECDSA_WITH_RC4_128_SHA (0xc007)
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)
TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)
TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA (0x0045)
TLS_DHE_DSS_WITH_CAMELLIA_128_CBC_SHA (0x0044)
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x0033)
TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032)
TLS_ECDH_RSA_WITH_RC4_128_SHA (0xc00c)
TLS_ECDH_RSA_WITH_AES_128_CBC_SHA (0xc00e)
TLS_ECDH_ECDSA_WITH_RC4_128_SHA (0xc002)
TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA (0xc004)
TLS_RSA_WITH_SEED_CBC_SHA (0x0096)
TLS_RSA_WITH_CAMELLIA_128_CBC_SHA (0x0041)
TLS_RSA_WITH_RC4_128_SHA (0x0005)
TLS_RSA_WITH_RC4_128_MD5 (0x0004)
TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc008)
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (0xc012)
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (0x0016)
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013)
TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA (0xc00d)
TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc003)
SSL_RSA_FIPS_WITH_3DES_EDE_CBC_SHA (0xfeff)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)

Algoritmus zvolený serverem:

TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039)

Opera 12.16

Podporované algoritmy:

TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039)
TLS_DHE_DSS_WITH_AES_256_CBC_SHA (0x0038)
TLS_DH_RSA_WITH_AES_256_CBC_SHA (0x0037)
TLS_DH_DSS_WITH_AES_256_CBC_SHA (0x0036)
TLS_RSA_WITH_AES_256_CBC_SHA (0x0035)
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x0033)
TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032)
TLS_DH_RSA_WITH_AES_128_CBC_SHA (0x0031)
TLS_DH_DSS_WITH_AES_128_CBC_SHA (0x0030)
TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
TLS_RSA_WITH_RC4_128_SHA (0x0005)
TLS_RSA_WITH_RC4_128_MD5 (0x0004)
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013)
TLS_DH_DSS_WITH_3DES_EDE_CBC_SHA (0x000d)
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (0x0016)
TLS_DH_RSA_WITH_3DES_EDE_CBC_SHA (0x0010)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)

Algoritmus zvolený serverem:

TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039)

Google Chrome 28

Podporované algoritmy:

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)
TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA (0x0088)
TLS_DHE_DSS_WITH_CAMELLIA_256_CBC_SHA (0x0087)
TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039)
TLS_DHE_DSS_WITH_AES_256_CBC_SHA (0x0038)
TLS_ECDH_RSA_WITH_AES_256_CBC_SHA (0xc00f)
TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA (0xc005)
TLS_RSA_WITH_CAMELLIA_256_CBC_SHA (0x0084)
TLS_RSA_WITH_AES_256_CBC_SHA (0x0035)
TLS_ECDHE_ECDSA_WITH_RC4_128_SHA (0xc007)
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)
TLS_ECDHE_RSA_WITH_RC4_128_SHA (0xc011)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)
TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA (0x0045)
TLS_DHE_DSS_WITH_CAMELLIA_128_CBC_SHA (0x0044)
TLS_DHE_DSS_WITH_RC4_128_SHA (0x0066)
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x0033)
TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032)
TLS_ECDH_RSA_WITH_RC4_128_SHA (0xc00c)
TLS_ECDH_RSA_WITH_AES_128_CBC_SHA (0xc00e)
TLS_ECDH_ECDSA_WITH_RC4_128_SHA (0xc002)
TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA (0xc004)
TLS_RSA_WITH_SEED_CBC_SHA (0x0096)
TLS_RSA_WITH_CAMELLIA_128_CBC_SHA (0x0041)
TLS_RSA_WITH_RC4_128_SHA (0x0005)
TLS_RSA_WITH_RC4_128_MD5 (0x0004)
TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc008)
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (0xc012)
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (0x0016)
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013)
TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA (0xc00d)
TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc003)
SSL_RSA_FIPS_WITH_3DES_EDE_CBC_SHA (0xfeff)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)

Algoritmus zvolený serverem:

TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039)

Internet Explorer 9

Podporované algoritmy:

TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
TLS_RSA_WITH_AES_256_CBC_SHA (0x0035)
TLS_RSA_WITH_RC4_128_SHA (0x0005)
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a)
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)
TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032)
TLS_DHE_DSS_WITH_AES_256_CBC_SHA (0x0038)
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013)
TLS_RSA_WITH_RC4_128_MD5 (0x0004)

Algoritmus zvolený serverem:

TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)

---

Nebudu vynášet žádné velké soudy ohledně volby algoritmu. Nejsem specialista na šifrovací algoritmy, proto bych jen vařil z vody. Zmínil bych ale pár pozoruhodných věcí:

• Firefox a Chrome nabízejí širokou škálu algoritmů, Opera ani ne poloviční, IE se zrovna nepřetrhl.
• Všechny prohlížeče kromě IE preferují 256bitové algoritmy (tedy vyšší bezpečnost a vyšší zátěž procesoru), jen IE ty 128bitové (nižší bezpečnost a nižší zátěž).
• Server si z nabídky vybral ve třech případech stejný algoritmus (AES-256-CBC s výměnou klíčů DHE_RSA). Pouze u IE je to AES-128-CBC s výměnou klíčů RSA. Je to dáno samozřejmě tím, jak mají prohlížeče jednotlivé algoritmy seřazené.

Více už to nebudu komentovat, přenechám to těm, kdo jsou větší odborníci...

       

Komentáře

[Breaking Bad]

na masiny v NSA vam nebude stacit ani 1024 ci 2048 bitove kryptovanie... len zatial sa nechcu velmi chvalit coho su schopny....

[Luk]

No, vzhledem k tomu, že zrovna právě NSA před nedávnem přišla s návrhem používat pro utajovanou komunikaci zrovna tyto standardní algoritmy (byť se šifrováním na dvou vrstvách), tak z toho nemám příliš obavy. V NSA si musí být dobře vědomi, že nejsou sami a že ruské nebo třeba čínské služby také usilovně pracují na prolomení těchto algoritmů.

Mnohem větší riziko plyne například z kořenových certifikátů natlačovaných do prohlížečů skrze aktualizace. Speciálně u Windows a Internet Exploreru je významné riziko, že Microsoft tam na příkaz tajné služby někomu něco strčí (a nemusí to být zdaleka jen kořenový certifikát).

[Luk]

Tady to je.

[Jendа]

K té Opeře: tohle je drsný.

Opera will autorepair damage to the certificate repository, a missing Certificate Authority is considered damage. Opera ships with a list of frequently used certificates, and if any of these are missing they will be added the next time the repository is read from disk. Other certificates will be added from the online repository as needed.

Můžete to někdo s Operou potvrdit?

[Luk]

Teď jsem to ověřoval a je to bohužel opravdu tak. Zkusil jsem smáznout certifikát CA GeoTrust a pak se připojit na server s certifikátem podepsaným touto autoritou. Navenek se to nic nehlásilo, připojení bylo úspěšné. Mezitím se prohlížeč stihl připojit na certs.opera.com (aspoň že pomocí HTTPS, už bych se totiž nedivil ničemu) a certifikát GeoTrust si odtamtud stáhnout (objevil se opět na seznamu).

Čili po přechodu na jádro Blink je to další důvod, proč Operu nepoužívat. Pro mě má hlavní výhodu v nástroji DragonFly, který zatím nemá konkurenci (používá se mi výrazně efektivněji než vývojářské nástroje v jiných prohlížečích). Takže pro ladění webů se jí asi hned tak nevzdám, ale pro jiné účely už je to velmi otazné...

[David Jaša]

Není tam možnost certifikát "jen" znedůvěryhodnit? To mi osobně přijde jako lepší možnost, než certifikát nemít vůbec.

[Luk]

Je možnost ho deaktivovat nebo zapnout upozorňování při jeho použití. Jak to funguje jsem netestoval, až budu mít čas a náladu, tak to vyzkouším.

[Bedňa]

Stačí používať šifrovanú sieť a nemusíš riešiť békoviny s prihlásením. Si proste nod v sieti.

[Luk]

Ne vždy to jde. Pokud mám k dispozici jen obyčejný Internet nebo obyčejnou lokální síť, vezmu za vděk TLS na aplikační úrovni.

[asdf]

Všechny tyhlety šifry bych zakázala. Chudáci děti :(

[Bystroushaak]

Všechny tyhlety děti bych zakázal. Chudáci šifry :(

[Bedňa]

Chúďatká malé 8bitové.

[Jendа]

TLS_RSA_WITH_RC4_128_MD5 (0x0004)

To zní bezpečně…

256bitové algoritmy (tedy vyšší bezpečnost a vyšší zátěž procesoru)

Co jsem kdysi měřil, tak minimálně AES je skoro stejně rychlý ve 128b i 256b verzi. Ale mohla to být domrvená implementace.

[Luk]

To zní bezpečně…

Jo, to jo...

Co jsem kdysi měřil, tak minimálně AES je skoro stejně rychlý ve 128b i 256b verzi. Ale mohla to být domrvená implementace.

Je to možné, jinak narazil jsem na tohle, docela zajímavé

[Nobody]

TLS_RSA_WITH_RC4_128_MD5

Kupodivu v kontextu TLS je to (resp. bylo to) bezpecnejsi nez AES nebo 3DES v CBC modu, viz BEAST, Lucky 13 nebo CRIME/BREACH.

[Luk]

Pokud bychom hovořili o TLS_RSA_WITH_RC4_128_SHA, tak by to částečně byla pravda. Ale s MD5 bych to za bezpečnější rozhodně nepokládal. Nehledě na to, že i u RC4 se našla zranitelnost.

Další kapitola samozřejmě je podpora TLS 1.1 a vyšších. AFAIK většina prohlížečů ji nemá ve výchozím nastavení zapnutou. Na serverech se zase zhusta nacházejí staré verze OpenSSL, které to také neumějí.

[Nobody]

Je to bezpecnejsi, MD5 tak jak je pouzita v TLS netrpi slabosti kvuli snadnosti nalezeni kolizi. Ad RC4, prave proto jsem psal bylo to.

Ano, treba Firefox ma defaultne stale TLS v1 a vyssi verze ani neumi. Takze zabezpecene weby ktere maji byt pristupne Firefoxem jsou dnes zranitelne.

[petr_p]

Umí, ale neumí přechod k nižší verzi, když server vyšší verzi nezná. Proto je jako výchozí omezení na nižší verze, protože jinak by to uživatelům „nefungovalo“.

[petr_p]

Tak TLS 1.2 opravdu neumí. Jeho schopnosti končí na TLS 1.1.

[Jendа]

Není už nějaký praktický útok na biasy v RC4 keystreamu?

[Nobody]

Prakticky utok uz byl prave prezentovan pri prvotnim oznameni zranitelnosti. Jestli uz je i prakticky pouzivan zlymi hochy to zatim nevim, ale ke kodu se dostat da.

[Luk]

Vzhledem k tomu, že RC4 docela zhusta používají banky, bylo by docela zajímavé to vědět