Un utente malintenzionato ha ottenuto alcune chiavi TrueCrypt a 128 bit da un'analisi RAM. Cosa può fare?

5

Sto provando a simulare un possibile scenario di attacco per i miei studi.

Ho un'immagine, che ha un disco crittografato, crittografato da TrueCrypt (confermato). TrueCrypt è installato anche sull'immagine stessa.

Durante un'analisi RAM dell'immagine, l'autore dell'attacco ha trovato alcune chiavi usando AESKeyFind. Un esempio di output è;

FOUND POSSIBLE 128-BIT KEY AT BYTE 35b880c 

KEY: b4ce75c857163e668818d0d76c46bad2

EXTENDED KEY: 
b4ce75c857163e668818d0d76c46bad2
ef3ac098b82cfefe30342e295c7294fb
ad18cfd21534312c25001f0579728bfe
e9257464fc114548d9115a4da063d1b3
1a1b1984e60a5ccc3f1b06819f78d732
b6153a5f501f66936f046012f07cb720
86bc8dd3d6a3eb40b9a78b5249db3c72
7f57cde8a9f426a81053adfa59889188
3bd6092392222f8b82718271dbf913f9
b9ab909a2b89bf11a9f83d6072012e99
f39a7edad813c1cb71ebfcab03ead232

CONSTRAINTS ON ROWS:
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000
00000000000000000000000000000000

Supponendo che non ci siano altri software che utilizzano le chiavi di crittografia, in che modo un utente malintenzionato può accedere al volume TrueCrypt? Potrebbe eventualmente craccare la chiave per ottenere una password in chiaro, o potrebbe usare questa chiave come file chiave per aprire il volume?

    
posta MichaelP 03.04.2014 - 10:13
fonte

2 risposte

4

Questa non è una chiave TrueCrypt. Puoi vedere che la chiave stessa è lunga 128 bit e il numero di tasti rotondi è 11, che è coerente con AES a 128 bit. TrueCrypt utilizza chiavi a 256 bit che, per AES, utilizza 15 tasti rotondi e ha chiavi molto più grandi a 256 bit. Qualunque sia la chiave, non è venuto da TrueCrypt. Supponiamo che tu abbia ricevuto la chiave TrueCrypt dalla memoria, e avevi in mano la chiave master completa a 256-bit. Quindi, cosa si potrebbe fare con questo?

Could he eventually crack the key to gain a plaintext password

TrueCrypt e la nuova VeraCrypt non usano la tua password direttamente come chiave. Invece, viene passato attraverso una funzione molto lenta chiamata PBKDF2 che converte la tua password ASCII in una chiave raw, binary. Tuttavia, TrueCrypt non utilizza nemmeno questa chiave raw per crittografare il volume. Invece, una singola chiave master (generata a caso al momento della creazione del volume) viene crittografata con quella chiave e questa chiave master crittografata viene memorizzata sul disco. Quando si inserisce la password, questa viene passata attraverso PBKDF2 e la chiave risultante viene utilizzata per decrittografare la chiave master. Questa chiave principale è ciò che viene memorizzato nella cache e che è disponibile per un utente malintenzionato che è in grado di recuperare il contenuto della memoria.

Anche se ciò significa che un utente malintenzionato non può ricavare la tua password direttamente dalla chiave master memorizzata nella cache, non significa che l'autore dell'attacco non può attaccare la tua password in altri modi. Se ha accesso all'intestazione del volume, può indovinare le password candidate e vedere quale sblocca l'unità. Mentre questo può essere automatizzato, la funzione lenta di PBKDF2 rende questo noioso per tutte tranne le password più deboli.

or could he use this key as a key file to open the volume?

Ora che poteva farlo. Se ha accesso a questa chiave, sarà assolutamente in grado di accedere al volume e decrittografare tutti i dati contenuti al suo interno. Naturalmente, poiché non è in grado di invertire facilmente la chiave nella password in chiaro, non è stato possibile riutilizzare la propria password su altri volumi TrueCrypt o in qualsiasi altro luogo in cui è stata utilizzata la password, almeno non senza averla violata con successo.

Se si sta tentando di recuperare dati specifici dal software di crittografia del disco, una semplice ricerca ingenua di chiavi di crittografia in memoria potrebbe non essere sufficiente. Ciò è dovuto al fatto che molti software di crittografia del disco, inclusi TrueCrypt (ad eccezione delle versioni precedenti), VeraCrypt e LUKS, utilizzano una speciale modalità di crittografia chiamata XTS. Questa modalità di crittografia richiede in realtà due chiavi, chiamate chiave principale e tasto di modifica. Per decodificare il disco, è necessario ottenere entrambi chiavi a 256-bit. La modalità XTS funziona così:

Entrambe le chiavi sono chiavi AES standard a 256 bit, ma entrambe sono assolutamente necessarie per decodificare il disco. Queste due chiavi derivano dalla chiave principale che è memorizzata sul disco in una forma crittografata come menzionato in precedenza. La chiave derivata direttamente dalla tua password è non archiviata in memoria, poiché viene utilizzata solo brevemente per decrittografare la chiave master e quindi scartata.

    
risposta data 01.01.2019 - 09:33
fonte
0

TrueCrypt utilizza chiavi a 256 bit per le chiavi di intestazione . HMAC-SHA-512, HMAC-RIPEMD-160, HMAC-Whirlpool sono utilizzati per la funzione di generazione di chiavi che non è reversibile. Non è possibile ottenere la password anche se si ottiene la chiave a dimensione intera.

    
risposta data 20.05.2014 - 14:25
fonte

Leggi altre domande sui tag