BEAST (Browser Exploit Against SSL/TLS), 2011 yılında gösterilen ve TLS 1.0 ile daha eski sürümlerin blok şifreleme modundaki yapısal bir zayıflıktan yararlanan bir saldırıdır. Saldırgan, kurbanın tarayıcısıyla sunucu arasındaki şifreli trafiği izleyip aynı anda tarayıcıya kontrollü veri gönderterek, oturum çerezi gibi gizli verileri bit bit tahmin edip ortaya çıkarabilir.

BEAST, şifrelemenin kendisi kırılmadan, şifreleme modunun öngörülebilir bir ayrıntısı kullanılarak gizli verinin nasıl sızdırılabileceğini kanıtladı.

Zayıflığın Kaynağı: Öngörülebilir Başlangıç Vektörü

Sorunun merkezinde, şifreleme modları içinden CBC modunun TLS 1.0’daki uygulanış biçimi vardır. CBC modunda her blok, şifrelenmeden önce bir önceki bloğun şifreli çıktısıyla karıştırılır; ilk blok için ise başlangıç vektörü (IV) adı verilen bir değer kullanılır. TLS 1.0’da bir sonraki mesajın IV değeri, bir önceki mesajın son şifreli bloğundan oluşuyordu; yani saldırgan trafiği dinlediğinde bir sonraki IV’yi önceden biliyordu.

Bu öngörülebilirlik, saldırgana seçilmiş düz metin saldırısı yapma imkanı verir. Saldırgan, tahmin etmek istediği gizli byte’ı belirli bir konuma hizalayacak şekilde tarayıcıya veri gönderir ve bilinen IV sayesinde tahminini doğrulayabilir. Her denemede bir byte’ı sabitleyerek, oturum çerezinin tamamını makul bir sürede çözebilir.

Saldırı Pratikte Nasıl Kurulur?

BEAST’in çalışması için saldırganın iki koşulu bir araya getirmesi gerekir: ağ üzerinde trafiği görebilecek bir konumda olmak ve kurbanın tarayıcısında kendi seçtiği içeriği çalıştırabilmek. İkinci koşul genellikle zararlı bir web sayfası ya da enjekte edilmiş bir betikle sağlanır; bu betik, hedef siteye tekrarlanan istekler yollayarak saldırganın byte hizalamasını kontrol etmesine yardımcı olur. SSL/TLS protokolü trafiği şifreli olsa da, bu düzenek kurbanın oturum kimliğini korumasız hale getirir.

Saldırının hedef aldığı şey algoritmanın matematiksel gücü değildir; kullanılan AES şifreleme algoritması kırılmaz, çözülen şey yalnızca modun yanlış kullanımının açtığı kapıdır. Bu ayrım önemlidir, çünkü çözüm algoritmayı değiştirmekten değil, protokolü ve modu düzeltmekten geçer.

Bugünkü Durum ve Korunma

TLS 1.1 ve 1.2, her kayıt için rastgele ve bağımsız bir IV kullanarak bu öngörülebilirliği ortadan kaldırdı; bu yüzden güncel protokol sürümlerini kullanan sistemler BEAST’e karşı korunaklıdır. Kısa vadeli bir yama olarak sunucularda RC4 şifresine öncelik verilmesi zamanında önerilmişti, ancak RC4’ün kendi zayıflıkları anlaşıldıktan sonra bu yaklaşım terk edildi ve modern öneri doğrudan TLS 1.2 veya üstüne geçmektir.

Kurumların dış yüzeydeki sunucularında hâlâ TLS 1.0 desteğinin açık olup olmadığını, zayıf şifre paketlerinin devrede kalıp kalmadığını düzenli kontrol etmesi gerekir. Privia Security’nin altyapı ve mimari gözden geçirme çalışmalarında TLS yapılandırmaları protokol sürümü ve şifre paketi düzeyinde incelenir ve BEAST gibi eski moda saldırılara zemin hazırlayan ayarlar tespit edilir.