Sharehoster Mega: Beveiligingsonderzoekers ontsleutelen daadwerkelijk beschermde gegevens

Beveiligingsonderzoekers van het ETH (Zwitsers Federaal Instituut voor Technologie) in Zürich hebben fouten ontdekt in de end-to-end-codering van de share-hoster Mega. Door misbruik te maken van de kwetsbaarheden kan de operator of aanvaller, onder bepaalde voorwaarden, versleutelde bestanden bekijken.

Eigenlijk zou end-to-end encryptie moeten garanderen dat alleen de rechtmatige eigenaar zijn bestanden kan decoderen. Noch de operator kan via zijn infrastructuur in platte tekst meelezen en ook aanvallers worden buitengesloten – als de nodige cryptografische operaties correct worden uitgevoerd.

Probleem opgelost. Maar slechts tijdelijk?

De beveiligingsonderzoekers leggen het uit op een websitedat is bij Mega niet het geval. De bug is gevonden in een problematische cryptografie-implementatie. In een verklaring stelt Mega:om het probleem op zijn minst gedeeltelijk te hebben opgelost. Meer patches zullen volgen. Tot nu toe zijn er geen dergelijke aanvallen geweest.

De beveiligingsonderzoekers bevestigen dat bijvoorbeeld toegang tot de private sleutel met hun methode niet meer mogelijk is. Volgens hen blijft de implementatie echter niet optimaal en kunnen de door hen geschetste verdere aanvallen via andere routes plaatsvinden.

De problemen

De megaclient ontleent de authenticatie- en encryptiesleutels aan het wachtwoord van de gebruiker. De encryptiesleutel versleutelt onder andere andere sleutels, bijvoorbeeld voor de chatfunctie en bestandstoegang. Om toegang vanaf meerdere apparaten te garanderen, wordt de privésleutel gecodeerd op de megaservers.

Omdat de sleutels geen integriteitsbescherming hebben, zeiden de beveiligingsonderzoekers dat ze op een manipulatieve manier hebben ingegrepen. Hierdoor konden ze conclusies trekken over priemgetallen in de loop van de gegevensuitwisseling van een sessie-ID. Na 512 inlogpogingen met het wachtwoord konden ze de private key stukje bij beetje reconstrueren met behulp van een RSA key recovery-aanval.

Om dit te kunnen doen, moet echter toegang worden verleend tot de megaserverinfrastructuur. De operator zou in theorie bestanden of aanvallers kunnen ontsleutelen in een man-in-the-middle-positie.

Meer aanvallen

De operator of aanvaller zou daarom toegang kunnen krijgen tot informatie in platte tekst. Het is ook denkbaar dat aanvallers bestanden die door gebruikers zijn opgeslagen, kunnen manipuleren of zelfs met kwaadaardige code geïnfecteerde bestanden kunnen opdringen aan slachtoffers die de authenticiteitscontroles doorstaan. In hun gedetailleerde rapport leggen de beveiligingsonderzoekers andere aanvallen uit en schetsen ze mogelijke aanvalsscenario’s.

(van)