ROBOT (Return Of Bleichenbacher’s Oracle Threat), 2017’de açıklanan ve aslında 1998’de bulunmuş olan bir zafiyetin neredeyse yirmi yıl sonra pek çok modern sunucuda hâlâ yaşadığını gösteren bir saldırıdır. Adından da anlaşılacağı gibi, kriptograf Daniel Bleichenbacher’ın RSA şifreli anahtar değişimindeki dolgu oracle’ını yeniden gündeme getirir. Zafiyet defalarca yamalanmış olsa da, uygulamalardaki eksik düzeltmeler onu tekrar tekrar geri getirmiştir.

ROBOT, yirmi yıl önce çözüldüğü sanılan bir kripto zafiyetinin, eksik yamalar yüzünden modern sunucularda nasıl hayatta kaldığının çarpıcı bir örneğidir.

Bleichenbacher Oracle’ı Nedir?

Saldırının kalbinde, RSA ile şifrelenmiş verinin dolgu biçimini doğrulayan bir sunucunun bu doğrulamanın sonucunu dışarıya sızdırması yatar. Sunucu, gönderilen şifreli bloğun dolgusunun geçerli olup olmadığına göre farklı davrandığında -farklı hata mesajı, farklı yanıt süresi ya da bağlantıyı farklı biçimde kapatma- bir ‘oracle’ oluşur. Saldırgan bu oracle’a binlerce özenle hazırlanmış sorgu göndererek, matematiksel olarak adım adım hedef şifreli metni çözer.

Bu yöntem, sunucunun kimliğini ve oturum anahtarını koruyan asimetrik şifreleme işleminin RSA anahtar taşıma modundaki uygulama zayıflığını hedefler. Önemli olan, algoritmanın kendisinin değil, dolgu doğrulama davranışının kusurlu olmasıdır; sunucu geçerli ve geçersiz dolguyu birbirinden ayırt edilebilir kılan en küçük ipucunu bile verdiğinde oracle işler hale gelir.

ROBOT Neden Geri Döndü?

1998’deki ilk düzeltmeler, geçersiz dolguyu geçerli gibi ele alıp sahte ama tutarlı bir yanıt üretme mantığına dayanıyordu. Ancak birçok üretici bu karşı önlemi eksik ya da hatalı uyguladı; küçük davranış farkları oracle’ı yeniden ölçülebilir kıldı. ROBOT araştırması, büyük içerik dağıtım ağları ve popüler cihaz üreticileri dahil çok sayıda ürünün bu eksik yamalar yüzünden hâlâ savunmasız olduğunu ortaya koydu. Sorun, tek bir kod satırının değil, on yıllara yayılmış bir uygulama geleneğinin izini taşıyordu.

Pratikte Ne Anlama Gelir?

Başarılı bir ROBOT saldırısı, saldırganın sunucunun RSA özel anahtarına doğrudan sahip olmadan bir oturumu çözmesini ya da sunucu adına imza üretmesini sağlayabilir. Anahtar değişiminin RSA taşıma modu kullanıldığında, kaydedilmiş bir SSL/TLS protokolü oturumu sonradan bu yöntemle çözülebilir; bu da geçmiş trafiğin gizliliğini de tehdit eder. Saldırının binlerce sorgu gerektirmesi onu tamamen pratik dışı yapmaz, çünkü otomasyonla bu ölçek kolayca aşılır.

Korunmanın iki temel yolu vardır. Birincisi, üreticinin yayınladığı doğru yamayı uygulayarak dolgu doğrulama davranışını sabitlemektir. İkincisi ve daha köklü olanı, RSA anahtar taşıma modunu tümüyle terk edip anahtar değişiminde ileri gizlilik sağlayan yöntemleri kullanmaktır. İleri gizlilik devredeyken her oturum kendi geçici anahtarını ürettiğinden, TLS el sıkışması sırasında sunucunun uzun ömürlü özel anahtarı oturum sırrını doğrudan taşımaz ve oracle saldırılarının değeri büyük ölçüde düşer.

ROBOT’un asıl dersi, bir zafiyetin ‘çözüldü’ sayılmasının onu yıllar sonra geri getirebileceğidir; çünkü düzeltmeler her ürüne eksiksiz yansımaz. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, sunucuların anahtar değişim yöntemlerini ve dolgu doğrulama davranışını inceleyerek ROBOT gibi yeniden dirilen zafiyetlerin altyapıda saklı kalıp kalmadığını değerlendirir.