dxdt.blog: занимательный интернет-журнал

(Так как Британскую библиотеку, которая с папирусами, пока не починили, используем манускрипты из библиотеки Ватиканской. Там как-то понадёжнее системы, видимо; кроме того, как известно, в ватиканском хранилище есть секретные, закрытые залы, содержащие такие древние документы, что знания из них, скорее всего, позволяют радикально защитить информационные системы.)

Воскресное чтение манускриптов. На этот раз – запись “Новой истории” Зосимы (Зосима?). Сам исходный труд опубликован в начале шестого века, манускрипт с записью, скриншоты которого приводятся ниже, датируется 10 веком, при этом в нём можно разглядеть знаки, сильно напоминающие символ “@”:

Однако это всего лишь такая лигатура σ+α (сигма и альфа). Например, на скриншоте – в слове “παρακελευσαμένου”. В общем, это не адрес email, о чём нетрудно догадаться, поскольку в этом фрагменте историк Зосима (или Зосим?), рассказывая о взятии Пальмиры Аврелианом, описывал историю Римской империи в те времена, когда Интернета не было ни у Зосимы, ни в Римской империи, что в тот, что в другой периоды: для современного состояния цивилизации этот момент (отсутствие Интернета) – всё ещё в будущем.

Интересно, что из записи этой “Новой истории” изымались некоторые фрагменты. На втором скриншоте (см. ниже) – как раз пометка о том, что изъяты восемь листов в самом конце первой (в современной нумерации) книги.

Внёс небольшие правки на экспериментальный (тестовый) сервер TLS 1.3:

добавил вывод пометки GREASE для GREASE-параметров (это специальные идентификаторы заведомо неподдерживаемых элементов в TLS, которые, например, присылают Chrome/Chromium);
сделал вывод шифротекста Kyber768 в ServerHello (пока что в виде единого блока байтов, без разбивки на части);
добавил распознавание ECH (Encrypted Client Hello) в расширениях (draft-версия); а вот реализовать поддержку ECH – пока что возможности нет.

Повсеместно пишут, что “кубиты” квантового компьютера “одновременно пребывают и в значении единица, и в значении ноль”. Собственно, и про квантовые состояния такое же пишут – “одновременно пребывает в разных состояниях” (но состояние-то одно). Понятно, что это исторически сложившийся штамп из области научпопа, не совсем понятно, что же имеется в виду. Что означает “пребывает” и “одновременно”? Какой именно секундомер используется для введения шкалы одновременности пребывания? Ведь не похоже, чтобы квантовое состояние требовало перечисления вариантов в строгой объектной привязке через “пребывания” (да и перечислить действительные числа не выйдет). То есть, если в результате измерения на компьютерных шкалах приборов обнаруживается конкретный набор величин для некоторых “классических” параметров, и вариантов предполагалось всего два, то из этого не следует, что строго эти два варианта как-то там “одновременно” объективизированы до момента измерения: зафиксированный “классический” результат не разворачивается в другую сторону, не образует некоторый “параллелизм”.

Нейросеть с ИИ YaGPT2 (сайт ya.ru) на вопрос “По какому коридору идёт Штирлиц?” отвечает, что Штирлиц идёт по “коридору власти” (и выдаёт какие-то пояснения про то, что Штирлиц – это персонаж художественных произведений). Это, конечно, не тест Тьюринга, но как тест на знание некоторых культурных реперов – вполне себе используется. Ответ YaGPT2 в 2023 году выглядит, так сказать, несколько странно, потому что не особенно-то отличается от “говорилок”, доступных и десять-пятнадцать лет назад (это когда “преобразуем входной вопрос в SQL-запрос”).

Десять лет назад на dxdt.ru вышла записка “Эволюция телефонного аппарата как персонального жучка” (а также некоторое обновление, в 2021 году). Вообще, к этой теме сейчас добавились всякие “умные” звуковые колонки и прочая техника, с постоянным доступом до внешних серверов и развитой вычислительной базой на борту – настолько развитой, что возможно исполнять “приложения”, автоматически присылаемые центральным сервером, с последующим их не менее автоматическим удалением. Все эти удачно установленные клиенту колонки и телевизоры начинают транслировать рекламу (пример есть от Amazon), но более интересно, что эти устройства значительно расширяют возможности по сбору информации.

Рассмотрим ситуацию на примере колонки – они очень популярны. Понятно, что “умная” колонка через встроенный микрофон (микрофоны) может постоянно прослушивать помещение и, например, узнавать людей по голосам. Так как есть центральный сервер, то много колонок в разных помещениях могут определять, где бывает тот или иной “носитель голоса”. Тут стационарность колонки составляет преимущество, по сравнению со смартфоном. Однако колонка ещё может взаимодействовать с приложением в смартфоне, который находится рядом: во-первых, штатными способами (это управление и прочие привычные функции – через центральный сервер, напрямую через локальный WiFi/Bluetooth); во-вторых – через дополнительный акустический канал, поскольку у колонки есть не только микрофон, но и динамики. Акустический канал может быть хорошо замаскирован для человеческого слуха – годится и ультразвук, и сокрытие наложенным сигналом. Особенность акустического канала в том, что колонка может взаимодействовать с приложением, которое официально никак с колонкой не связано. И, естественно, нужное приложение может автоматически “приехать” и в смартфон, и в колонку.

Сейчас встречаются в суперсовременных моделях легковых автомобилей схемы, когда двигатель внутреннего сгорания (ДВС) вращает электрогенератор, питающий электромоторы колёсного привода, при этом, конечно, есть и батарея, которая позволяет автомобилю быть “чистым” электромобилем.

Схема с ДВС, генератором и электромоторами – удобная, известная, применяется и применялась много где, но для легковых автомобилей её всё ещё можно считать нетиповым решением. Тем более, что маркетинговой мотивацией является увеличение пробега на одном заряде батарей. Так-то электромоторы, непосредственно приводящие колёса, являются идеальным вариантом для автомобиля с точки зрения кинематики движения (да, даже если это четыре мотор-колеса и при этом учитывается величина “неподресоренных” масс). Но вот на практике с дорожными электромобилями есть ряд проблем – негде заряжать, прежде всего, но не только. Как эти проблемы будут решать, в случае сохранения массового использования личных автомобилей, пока не ясно. Оговорка про “массовость использования” тут важна потому, что решить проблемы можно прямым способом, а именно – исключив массовое использование личных автомобилей, сделав такое недоступным.

Вернёмся к теме про сочетание ДВС с электроприводом – сейчас это как бы переходный вариант, но нельзя исключать, что развитие истории пойдёт по такому пути, что через какое-то время, после того как останутся только электромобили без ДВС, такая же схема опять станет переходной в новых моделях, но переход случится в другую сторону.

Кстати, электромобиль без ДВС не выглядит принципиально не подходящим для использования в ситуации постапокалипсиса: горючее для современного автомобильного ДВС ведь тоже не вот где найдётся, если соответствующая инфраструктура разрушена. А электромобиль можно попробовать заряжать от ветряка какого-нибудь. Впрочем, с другой стороны, сложно собрать и настроить электрическую часть такого ветряка. Да и современный электромобиль может оказаться заблокированным, так как “отсутствует связь с сервером обновлений”. Для постапокалипсиса лучше чисто механические тракторы с неприхотливой паровой машиной – для них хотя бы топливо проще раздобыть.

Я иногда в заметках ссылаюсь на какие-то материалы Британской библиотеки. Например, в недавней заметке про кусочки “Илиады”. Онлайн-каталоги и оцифрованные манускрипты с папирусами – это удобно. Вот только основной веб-сайт Британской библиотеки, как и некоторые прочие их ресурсы, ещё неделю назад упал и, – как нетрудно догадаться, – с тех пор недоступен. Что там теперь с цифровыми коллекциями – не понятно. И это ещё один пример наступающего Нового Средневековья. Скриптории-то нынче почти все расформировали.

Кстати, если вдруг придумают алгоритм быстрой факторизации больших полупростых чисел, сломав тем самым RSA, то, конечно, “популярной мотивации” для создания универсального квантового компьютера станет сильно меньше: на этом направлении всегда пишут про алгоритм Шора. А вот с необходимостью перехода на постквантовые криптосистемы, в этом случае, есть интересные особенности.

Так, обнаружение алгоритма быстрой факторизации, естественно, легко может грозить тем, что попутно обнаружится и способ быстро сломать задачи типа привычного эллиптического варианта Диффи-Хеллмана (читай – ECDSA). Однако только из этого не следует автоматически вывод, что переходить требуется именно на постквантовые криптосистемы. Вот тут и начинаются особенности. Во-первых, постквантовые криптосистемы уже разработаны, уже имеют какую-то практическую “классическую” стойкость, уже реализованы, – так что их быстрее внедрить; во-вторых, задачи, на которых базируются те или иные постквантовые криптосистемы, имеют гораздо больше шансов сохранить известную сложность после обнаружения каких-то принципиально новых методов быстрой факторизации – это, конечно, тоже не гарантируется, однако для ускорения факторизации/логарифмирования до сих пор использовались математические конструкции, которые, в общем-то, стоят и за многими постквантовыми алгоритмами.

Отвлечённая литературная реплика про Новое Средневековье. При наблюдении над СМИ широкого профиля, которые относятся к разным логическим сегментам глобального мира, полезно выделять не сами события (как упоминания) или их различное описание, а процесс, соответствующий одновременному проявлению конкретного события (которое в этом случае чётко и узнаваемо обозначается) в СМИ разных логических сегментов. Это нередко даёт ценные понятийные инварианты. И только на следующем, втором уровне находится “дополняемость” оценочных/эмоциональных реперов, присутствующих в связанных с событием публикациях. Например, дополняют одна другую “негативная оценка” и “нейтральная” или “позитивная” и “нейтральная” (“негативная” и “позитивная” – не дополняют, как ни странно).

В атаке с перехватом трафика Jabber.ru использовался активный сетевой прокси с MITM. Однако если процесс, реализующий TLS, исполняется в виртуальной машине, а гипервизор контролируется провайдером хостинга, то можно проводить полностью пассивную атаку с рашифрованием TLS-трафика, да так, что из виртуальной машины атаку видно не будет. Это существенно сложнее прокси, терминирующего TLS с подменным сертификатом, и ограничивает возможности по расширению атаки до активной (с вмешательством в трафик), но является куда как более изящным методом. Для реализации требуется доступ к функции копирования (“дампа”) памяти гипервизора, а кроме того, естественно, доступ к сетевому трафику виртуальной машины (либо тоже на уровне “виртуализации” гипервизора, либо на уровне “внешней” сети).

Основная идея такая: общий сессионный секрет и сеансовые ключи TLS-соединения находятся в оперативной памяти виртуальной машины – нужно их из памяти извлечь, выполнив выгрузку копии памяти гипервизором в подходящий момент. Самое занятное, что это же относится и к секретному серверному ключу сертификата, который, впрочем, во многих случаях ещё и просто лежит в статическом файле на диске, в открытом виде. Извлечение и использование серверного ключа из файловой системы, при доступе к гипервизору, вообще представляет тривиальную задачу и тут не рассматривается. Варианты с зашифрованным файлом, с зашифрованным томом (диском) – уже сложнее, но тоже реализуемы; так или иначе – это не относится к анализу TLS. А вот извлечение разнообразных ключей из дампа оперативной памяти – относится, поэтому рассмотрим метод в общих чертах, за вычетом возможных мер по маскированию ключей в памяти (см. ниже).

В TLS набор симметричных сеансовых ключей используется сторонами для зашифрования/расшифрования и вычисления кодов аутентификации, поэтому знание ключей позволяет расшифровать TLS-сообщения и подделать TLS-сообщения. Для получения действующих сеансовых ключей используется некоторый общий сессионный секрет, согласованный в начале TLS-сессии. Этот секрет позволяет простым способом вычислить сами сеансовые ключи (обратное – не верно), поэтому достаточно найти сессионный секрет. В TLS 1.3 процесс работы с исходными секретами разбит на шаги, каждый из которых выводит симметричные ключи для соответствующего этапа соединения, так что ситуация несколько сложнее, но эти детали тоже пропустим.

Чтобы зафиксировать нужные симметричные ключи в памяти виртуальной машины, нужно определить момент, когда они там образуются. Если момент упустить, то сеансовые ключи могут быстро потеряться, так как соответствующие байты в памяти окажутся перезаписаны. Для фиксирования удобного момента требуется наблюдение над сетевым трафиком: по статусу TLS-соединения можно определить, что приложение должно вычислить ключи, и в этот момент сделать дамп памяти (или несколько последовательных дампов). Ход сетевого трафика, при необходимости, можно и “подвесить”, так как речь всё же идёт про ситуацию контроля над гипервизором. После того, как дамп памяти снят, данные из него анализируются с целью извлечения ключей, а TLS-трафик пассивно записывается.

Как найти ключи в дампе памяти? Есть прямой, но не самый быстрый, способ полного перебора: пробное расшифрование (или вычисление кода аутентификации) выполняется по порядку для каждой байтовой последовательности дампа нужной длины. Возможны, конечно, варианты, когда значение ключа оказалось в дампе памяти разрезано на части, поэтому такой перебор не сработает. Более точные результаты даст предварительная разметка областей по признаку записи, а также анализ логических блоков по схеме представления памяти в гостевой ОС. Понятно, что это всё можно сделать на уровне гипервизора. Для чего-то даже имеются готовые инструменты, что-то придётся запрограммировать. Схема с перебором работает и для секретного серверного ключа, только вместо пробного расшифрования нужно выполнять другую операцию (например, для ECDSA – пробное умножение; но это детали, главное, что в TLS-трафике всегда есть опорные метки).

Ключи и секрет могут быть замаскированы в памяти приложением (обычно, XOR с псевдослучайной маской, маска хранится отдельно или вычисляется по необходимости специальной функцией). Такое решение встречается нередко. Однако для того, чтобы ключи использовать – их всё же придётся раскрыть для операций хеш-функций и шифров, поэтому достаточно угадать момент выполнения дампа памяти. (Можно предложить алгоритмы с дополнительным непрерывным перемешиванием адресации и масок на уровне реализации шифров/хеш-функций, но вряд ли такое где-то встречается на практике.)

Проблемы с данным методом могут начаться тогда, когда параллельных TLS-соединений очень много: с одной стороны, возрастают шансы поймать много ключей в дампах памяти, с другой – дополнительные сложности с отслеживанием и сопоставлением состояний.

Перевод атаки в активную возможен, если не возникло существенного рассогласования по времени между моментом определения ключей и TLS-сессией. Так как атакующей стороне известны секретные симметричные ключи, она может подготовить корректную TLS-запись (или несколько записей) с нужными данными и встроить их в трафик, перехватив какие-то элементы протокола, работающего внутри TLS – но тут необходимо учитывать, что разойдутся счётчики и последовательность записей, так что подлинная сессия, вообще говоря, развалится, однако можно её до какой-то степени продолжать подменным узлом.

Схема работает не только для TLS, но и для других протоколов (SSH, например), если только реализации не подразумевают достаточно сложных механизмов защиты ключей. При этом понятно, что никакой “полной защиты” от гипервизора тут быть не может.

Пишут, что iPhone с актуальной версией OS (iOS 17) успешно заливается bluetooth-запросами вплоть до перезагрузки (впрочем, не меньше похоже и на успешную “партизанскую” PR-кампанию Flipper Zero, который выступает в качестве генератора запросов в эфир). Но занятно, что новая версия iOS так и не привела к улучшениям в методах разработки Apple (устройства эти почему-то считаются “повышенной безопасности”), но послужила в качестве канвы для рекламы Flipper Zero.