A first glance at the Universal Second Factor (U2F) protocol

Transcription

1 A first glance at the Universal Second Factor (U2F) protocol Florian Maury ANSSI 2 juin 2016 SSTIC Mickaël Bergem ParisTech F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

2 Pourquoi faire un nouveau protocole d authentification à deux facteurs? F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

3 Des problèmes avec les codes SMS et TOTP Retransmission des codes : SMS et TOTP vulnérables au hameçonnage Secrets symétriques : stockage en clair d information par le serveur F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

4 Les problèmes des codes envoyés par SMS SS7 Figure : SS7 est peu sûr (SS7 Security Report Positive Technologies) F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

5 Universal Second Factor (U2F) F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

6 U2F : qui? quand? quoi? comment? Qui? normalisation : consortium FIDO Alliance services actuellement protégeables par U2F : Google, Github, Dropbox Quand? spécifications 1.0 : mai 2015 Quoi? tokens cryptographiques logiciels, USB, BT ou NFC Comment? tokens disponibles en ligne F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

9 Procédure d authentification U2F typique Authentification en deux étapes : saisie d un mot de passe puis, activation du token U2F F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

10 Aperçu de la cryptographie d U2F Cryptographie asymétrique : une bi-clé par origin ECDSA sur P-256 validation manuelle unitaire F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

11 Aperçu de la cryptographie d U2F Cryptographie asymétrique : une Unebi-clé origin par = (scheme, origin host, port) ECDSA exemple sur P-256 : (http, 80) validation manuelle unitaire F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

12 Aperçu de la cryptographie d U2F Cryptographie asymétrique : une bi-clé par origin prévient le hameçonnage ECDSA sur P-256 validation manuelle unitaire F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

13 Aperçu de la cryptographie d U2F Cryptographie asymétrique : une bi-clé par origin prévient le hameçonnage ECDSA sur P-256 validation manuelle unitaire limite les oracles F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

14 Du stockage des clés cryptographiques Utilisation d un identifiant de clé, associé à une origin key handle Deux types de stockage de clés : dans le token ; mémoire interne finie hors du token : key handle = clé privée wrappée Objectif de la première phase d authentification : identifier le key handle à utiliser par U2F F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

15 Détails des échanges protocolaires F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

16 Détails des échanges protocolaires : Enregistrement 3 Generates: key K pub U2F Token 2 CDATA = SHA256(C + Origin O + metadata) APPDATA = SHA256(O) FIDO Client (Browser) 1 challenge C Relying Party (Website) C key K priv key handle h R = [Kpub + h + S = Sig(CDATA + APPDATA + KPub + h + metadata)] 4 R + CDATA 5 6 Verifies then stores: key K pub handle h F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

17 Détails des échanges protocolaires : Authentification 3 Get K priv with handle h, and if the origin matches, signs the challenge. U2F Token CDATA = SHA256(C metadata M2) h + APPDATA=SHA256(O) R = [M3 + S = Sig(CDATA + APPDATA + metadata M3)] 2 4 FIDO Client (Browser) 1 C + h + metadata M1 R + h + CDATA 5 Set Cookie Relying Party (Website) 6 Checks signature with K pub F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

18 Analyse de sécurité F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

19 Propriétés de sécurité étudiées Propriétés étudiées : anti-rejeu résistance au hameçonnage Prérequis : TLS pour assurer la confidentialité du matériel authentifiant Chrom{e,ium} 41+ F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

20 Propriétés de sécurité étudiées Propriétés étudiées : anti-rejeu nonces, compteur résistance au hameçonnage Prérequis : TLS pour assurer la confidentialité du matériel authentifiant Chrom{e,ium} 41+ F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

21 Propriétés de sécurité étudiées Propriétés étudiées : anti-rejeu nonces, compteur résistance au hameçonnage clé unique par origin Prérequis : TLS pour assurer la confidentialité du matériel authentifiant Chrom{e,ium} 41+ F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

22 Propriétés de sécurité étudiées Propriétés étudiées : anti-rejeu nonces, compteur résistance Avertissement au hameçonnage : clé unique par origin pas de vérification formelle Prérequis : TLS pour assurer la confidentialité du matériel authentifiant Chrom{e,ium} 41+ F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

23 Contre-mesure aux MITM TLS F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

24 Définition du MITM TLS Dans le cadre d U2F, MITM TLS signifie : attaquant sur le chemin réseau même origin que le site légitime certificat validé (par le navigateur ou l utilisateur) F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

25 Présentation de TLS Channel ID TLS Channel ID : extension TLS défini dans un Internet-Draft expiré redéfinition en cours par le GT tokbind prise en charge optionnelle dans U2F une bi-clé générée une fois par serveur F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

26 Objectif de TLS Channel ID Être un identifiant liant les deux terminateurs de connexion et le transcript TLS F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

27 Objectif de TLS Channel ID Être un identifiant liant les deux terminateurs de connexion et le transcript TLS Figure : U2F signe le TLS Channel ID pour prévenir le MITM TLS F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

28 Objectif de TLS Channel ID Être un identifiant liant les deux terminateurs de connexion et le transcript TLS Figure : TLS Channel ID est vulnérable aux attaques par dégradation du niveau de sécurité s il est optionnel et utilisé seul F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

29 Objectif de TLS Channel ID Être un identifiant liant les deux terminateurs de connexion et le transcript TLS Figure : U2F renforce TLS Channel ID en prévenant ce type d attaque F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

30 Et ça marche, ce truc? F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

31 Qui essaie de négocier TLS Channel ID? Service Web Google Github Dropbox Prise en charge de TLS Channel ID F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

32 Connexion avec mot de passe à Google F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

33 Authentification avec le token U2F F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

34 Authentification acceptée!? == MITM réussi! F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

35 Accès aux messages U2F transmis dans TLS F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

36 Signalement et qualification du risque résiduel Contact avec Google : la vérification de TLS Channel ID est désactivée support expérimental par Chrome usage incompatible avec les proxy-cache interceptants vérification de l efficacité effectuée avec un compte de test Résultat net : TLS Channel ID n est pas implémenté ou vérifié F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

37 Autre limitation d U2F : le cas de la confirmation de transaction F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

38 Limite d U2F assumée par les spécifications Pas de confirmation de transaction pas de propriété WYSIWYS* * : WYSIWYS : What You See Is What You Sign F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

39 Limite d U2F assumée par les spécifications Pas de confirmation de transaction pas de propriété WYSIWYS* Contrairement à SMS et TOTP, pas de saisie utilisateur dans un champ affiché à l écran : incertitude de ce que l on confirmerait Usage impossible, par exemple, pour valider une transaction bancaire (3DSecure) * : WYSIWYS : What You See Is What You Sign F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

40 Comparatif avec l authentification TLS du client par certificat F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

41 Facilité de mise en œuvre Parmi les objectifs premiers d U2F : être plug n play, sans pilote (RawHID) Authentification par certificat : navigateurs coupables d interfaces utilisateur kafkaesques utilisation simplifiable avec la complicité d un service informatique F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

42 Résistance aux MITM TLS U2F : en théorie, résistant grâce à TLS Channel ID* en pratique, pas de déploiement Authentification par certificat : résistant* * : L attaque SLOTH (et autres attaques par collision de transcript) peut affecter U2F et l authentification par certificat client F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

43 Protection contre des vulnérabilités web U2F : utilisation de formulaires web interaction avec l application sans authentification vol de session potentiel par XSS Authentification par certificat : sans certificat valide, impossible de voir/communiquer avec l application F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

44 Recul sur les protocoles U2F : jeune (peu d implémentations, peu de déploiements) cette étude est la première qui soit indépendante Authentification par certificat : spécifié en SHAKE, SLOTH, MS F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

45 Conclusions sur le protocole U2F F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

46 Conclusion U2F : second facteur semblant satisfaisant pour le grand public facilité d utilisation pas de confirmation de transaction : n est pas un remplacement universel du SMS/TOTP nécessite des études supplémentaires : pas d étude des implémentations pas d étude de la fonctionnalité facets Authentification par certificat : pas encore remplacé pour les applications sensibles F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39

47 Q & A Merci pour votre attention Florian Maury ANSSI Mickaël Bergem ParisTech F. Maury, M. Bergem A 1 st glance at the U2F protocol 2 juin /39