Vulnerabilidad en una claves RSA en keypair (CVE-2021-41117)
Fecha de publicación:
11/10/2021
keypair es un generador de claves RSA PEM escrito en javascript. keypair implementa un montón de primitivas criptográficas por sí mismo o tomando prestado de otras bibliotecas cuando es posible, incluyendo node-forge. Se detectó un problema en el que esta biblioteca genera claves RSA idénticas a las usadas en SSH. Esto significa que la biblioteca está generando valores P, Q (y por lo tanto N) idénticos, lo cual, en términos prácticos, es imposible con claves RSA-2048. Generar valores idénticos, repetidamente, indica un problema de generación de números aleatorios pobre, o, un manejo inapropiado de la salida del CSPRNG. Problema 1: Generación inapropiada de números aleatorios ("GHSL-2021-1012"). La biblioteca no se basa completamente en un CSPRNG proporcionado por la plataforma, sino que usa su propio enfoque CMAC basado en contadores. Donde las cosas van inapropiadamente es al sembrar la implementación de CMAC con datos aleatorios "true" en la función "defaultSeedFile". Para sembrar el generador de AES-CMAC, la biblioteca toma dos enfoques diferentes dependiendo del entorno de ejecución de JavaScript. En un navegador, la biblioteca usa ["window.crypto.getRandomValues()"](https://github.com/juliangruber/keypair/blob/87c62f255baa12c1ec4f98a91600f82af80be6db/index.js#L971). Sin embargo, en un entorno de ejecución nodeJS, el objeto "window" no está definido, por lo que se recurre a una solución mucho menos segura, que presenta un bug. Parece que la librería intenta usar el CSPRNG de node cuando es posible, desafortunadamente, parece que el objeto "crypto" es nulo porque se declaró una variable con el mismo nombre, y se estableció como "null". La ruta del CSPRNG del nodo nunca se toma. Sin embargo, cuando "window.crypto.getRandomValues()" no está disponible, se usa un generador de números aleatorios LCG de Lehmer para sembrar el contador CMAC, y el LCG es sembrado con "Math.random". Mientras que esto es pobre y probablemente calificaría en un fallo de seguridad en sí mismo, no explica la extrema frecuencia en la que se producen claves duplicadas. El principal fallo: la salida del LCG de Lehmer está codificada incorrectamente. La [línea][https://github.com/juliangruber/keypair/blob/87c62f255baa12c1ec4f98a91600f82af80be6db/index.js#L1008] específica con el fallo es: "b.putByte(String.fromCharCode(next & 0xFF))" La [definición](https://github.com/juliangruber/keypair/blob/87c62f255baa12c1ec4f98a91600f82af80be6db/index.js#L350-L352) de "putByte" es "util.ByteBuffer.prototype.putByte = function(b) {this.data += String.fromCharCode(b);};". Simplificado, esto es "String.fromCharCode(String.fromCharCode(next & 0xFF))". El doble "String.fromCharCode" es casi seguro que no es intencionado y es el origen de una semilla débil. Esto no resulta en un error. Hace que la mayor parte del buffer contenga ceros. Al estar enmascarando con 0xFF, podemos determinar que el 97% de las salidas del LCG se convierten en ceros. Las únicas salidas que resultan en valores significativos son las salidas 48 a 57, inclusive. El impacto es que cada byte en la semilla RNG presenta un 97% de posibilidades de ser 0 debido a una conversión incorrecta. Cuando no lo es, los bytes son del 0 al 9. En resumen, hay tres preocupaciones inmediatas: 1. La biblioteca presenta una ruta de retorno de números aleatorios no segura. Lo ideal es que la biblioteca requiriera un CSPRNG fuerte en lugar de intentar usar un LCG y "Math.random". 2. La librería no usa correctamente un generador de números aleatorios fuerte cuando se ejecuta en NodeJS, incluso cuando un CSPRNG fuerte está disponible. 3. La ruta de retorno tiene un problema en la implementación donde la mayoría de los datos de la semilla serán efectivamente cero. Debido a la pobre generación de números aleatorios, keypair genera claves RSA que son relativamente fáciles de adivinar. Esto podría permitir a un atacante descifrar mensajes confidenciales o conseguir acceso autorizado a una cuenta perteneciente a la víctima
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/10/2021
