BEAST Attack.

BEAST (Browser Exploit Against SSL/TLS) a ete devoile a Ekoparty 2011 par Juliano Rizzo et Thai Duong sous l'identifiant CVE-2011-3389. SSL 3.0 et TLS 1.0 enchainent les vecteurs d'initialisation CBC d'un record a l'autre : l'IV du record N est tout simplement le dernier bloc chiffre du record N−1, et il est donc connu d'un attaquant present sur le reseau avant meme l'envoi du record suivant. Le chiffrement devient alors un schema CBC a IV previsible, vulnerable a une attaque a texte clair choisi adaptative par blocs.

L'exploitation pratique associe un attaquant de type man-in-the-middle a du JavaScript controle par l'attaquant (a l'origine un applet Java, exploitant des faiblesses de la meme origine) s'executant dans le navigateur de la victime. L'attaquant aligne un octet secret inconnu — par exemple un octet d'un cookie de session — de sorte qu'il se trouve a la fin d'un bloc CBC, puis devine cet octet : une hypothese est confirmee lorsque le bloc chiffre produit correspond a un bloc deja observe. En decalant la frontiere d'un octet a la fois, le cookie complet est recupere en environ 256 essais par octet au lieu de 256^n.

Parades : TLS 1.1+ utilise des IV explicites et aleatoires par record et est immunise ; les navigateurs ont deploye le decoupage de record 1/n−1 (envoyer un octet dans son propre record pour aleatoriser l'IV suivant) ; RC4 a servi de solution provisoire jusqu'a ce que ses propres biais le rendent dangereux. Le correctif durable est TLS 1.2/1.3 avec des chiffrements AEAD (AES-GCM, ChaCha20-Poly1305), qui abandonnent CBC pour le chiffrement des records.

flowchart TD
  M[MITM observes TLS 1.0 CBC records] --> J[Attacker JS injects chosen plaintext]
  J --> A[Align secret cookie byte at block boundary]
  A --> G[Guess byte using prior ciphertext block as known IV]
  G --> C{Ciphertext block matches?}
  C -->|Yes| R[Byte recovered, shift boundary]
  C -->|No| G
  R --> D{Cookie complete?}
  D -->|No| A
  D -->|Yes| S[Session cookie stolen]