럭키 서틴 공격

럭키 서틴 공격(Lucky Thirteen attack)은 CBC 운용 모드를 사용하는 전송 계층 보안(TLS) 프로토콜 구현에 대한 암호화 타이밍 공격으로, 2013년 2월 로열 홀러웨이 정보 보안 그룹의 개발자인 나뎀 J. 알파르단과 케니 패터슨이 처음 보고했다. Includes list of which software versions are vulnerable.

 공격 
이것은 이전에 수정된 것으로 여겨졌던 세르주 보드네이의 패딩 오라클 공격의 새로운 변종으로, TLS 알고리즘의 메시지 인증 코드(MAC) 검사 단계에 대한 타이밍 사이드 채널 공격을 사용하여 보드네이의 공격을 완화하려는 이전 시도로 해결되지 않은 방식으로 알고리즘을 해독한다.

"이러한 의미에서, 현재 형태의 공격은 일반적인 TLS 사용자에게 중대한 위험을 초래하지 않는다. 그러나 공격은 시간이 지남에 따라 개선될 뿐이며, 우리의 공격에 대한 개선점이나 완전히 새로운 공격이 아직 발견될 수 있을지 예상할 수 없다." — 나뎀 J. 알파르단과 케니 패터슨

연구자들은 TLS의 자유 소프트웨어 구현만을 조사했으며, 조사된 모든 제품이 잠재적으로 공격에 취약하다는 것을 발견했다.
그들은 OpenSSL과 GnuTLS에 대해 공격을 성공적으로 테스트했다. 연구자들은 책임 있는 공개를 적용하고 소프트웨어 공급업체와 협력했기 때문에, 출판 당시 공격을 완화하기 위한 일부 소프트웨어 업데이트가 제공되었다. 이 취약점은 로 할당되어 추적되었다.

마틴 R. 알브레히트와 패터슨은 이후 아마존의 s2n TLS 구현에 대한 변형 럭키 서틴 공격을 시연했는데, s2n이 타이밍 공격을 방지하기 위한 대책을 포함하고 있음에도 불구하고 그러했다.

 같이 보기 

 블록 암호 운용 방식

 각주 

 외부 링크 
 Time is money (in CBC ciphersuites), Nikos Mavrogiannopoulos, 2013년 2월 5일

분류:암호 공격
분류:2013년 컴퓨팅
분류:전송 계층 보안