Signed, Sealed, Subverted: Wat geBroken Cryptografie ons leert over vertrouwen

Vervalste certificaten, verbroken ketens

In 2012 liet een team onderzoekers zien hoe je in de praktijk misbruik kon maken van een bekende kwetsbaarheid in de MD5-hashfunctie: collision attacks. Stel je voor: een vervalser ontdekt dat twee compleet verschillende bankbiljetten (één echt, één vals) moeiteloos door dezelfde controle komen. Niet omdat het valse biljet zo goed nagemaakt is, maar omdat de machine alleen naar het serienummer kijkt. En dat serienummer is exact hetzelfde.

Dat is het principe van een collision attack.

In de digitale wereld werkt het zo: een aanvaller maakt eerst een onschuldig ogend certificaat met een specifieke digitale vingerafdruk. Daarna maakt hij een vals certificaat dat exact diezelfde vingerafdruk heeft. Voor het systeem zijn ze identiek. Het is een perfecte vervalsing, niet door de inhoud te kopiëren, maar door de digitale vingerafdruk te matchen.

Een groep hackers paste deze techniek toe om een vals Certificate Authority (CA)-certificaat te maken. Zo’n certificaat wordt door browsers en systemen blind vertrouwd, zolang het lijkt te komen van een legitieme root. Met dat valse CA-certificaat konden ze vervolgens geldige TLS-certificaten uitgeven voor elk domein dat ze maar wilden: Google, Facebook, je bank, je e-mailprovider… alles.

Stel je voor: je logt in op je online bank. Alles ziet er vertrouwd uit. Het groene hangslotje staat in de adresbalk, de URL klopt en je voelt je veilig. Maar achter de schermen zit je niet bij je bank, je zit op een server van de aanvaller. Elke inlog, elke transactie, elk stukje gevoelige data stroomt rechtstreeks naar hen toe.

Dit is geen theorie. Het werkt. De infrastructuur die bedoeld is om authenticiteit te garanderen, kan stilletjes worden omzeild.

Neem RC4, ooit het algoritme achter HTTPS, WEP en delen van TLS. Het lekte geheimen alsof een kind zachtjes in een verzonnen taal zat te mompelen, denkend dat niemand het kon verstaan. Maar wie goed luisterde, met de juiste tools, kon de patronen zo ontcijferen. Wat versleuteld had moeten blijven, werd leesbaar.

Onderzoekers ontdekten dat RC4 voorspelbare vertekeningen had in de manier waarop het zijn stroom versleutelde bits produceerde. Met genoeg onderschept verkeer konden aanvallers sessiecookies, encryptiesleutels en andere gevoelige data reconstrueren. Het was geen willekeurige ruis meer, het was lekke code die klaar lag om gebruikt te worden.

En ook dit bleef niet bij theorie. In 2011 werd Diginotar, een officiële Nederlandse certificeringsinstantie, gehackt. Aanvallers gaven tientallen frauduleuze certificaten uit, waaronder één voor Google, dat werd gebruikt voor grootschalige surveillance. De inbreuk ondermijnde de digitale infrastructuur van de Nederlandse overheid en betekende het einde van Diginotar. Als een pijler van vertrouwen valt, stort alles wat erop gebouwd is mee in.

Gebruikers kregen een vals gevoel van veiligheid: een groen hangslotje, een keurige certificaatketen. Ondertussen konden aanvallers het verkeer gewoon meelezen of zich onopgemerkt voordoen als een vertrouwde site.

De les is duidelijk: cryptografische systemen kunnen er intact uitzien terwijl ze in werkelijkheid al gecompromitteerd zijn. Handtekeningen, certificaten en encryptie blijven op het eerste gezicht werken, zelfs als ze dat niet meer doen. En tegen de tijd dat iemand dat doorheeft, is de schade vaak al onomkeerbaar.

Kapotte crypto is traditie

Gebroken cryptografie is niets nieuws. Je zou het bijna een traditie kunnen noemen. Elk tijdperk heeft zijn “onbreekbare” code gehad, totdat bleek dat die toch niet zo onbreekbaar was.

• Enigma: De Enigma-machine, met zijn ingewikkelde mechaniek en voortdurend wisselende sleutels, werd ooit als ondoordringbaar beschouwd. De nazi’s vertrouwden er volledig op. Maar cryptanalisten van de geallieerden, geholpen door gelekte informatie en de computers van die tijd, kraakten hem toch. Het resultaat was allesbehalve theoretisch: het verkortte de Tweede Wereldoorlog en redde talloze levens [3].
• DES: In de jaren 70 was de Data Encryption Standard dé gouden standaard voor het beveiligen van overheids- en bedrijfsgegevens. Maar er zat één fatale zwakte in: de sleutel was te kort. Naarmate computers sneller werden, was het slechts een kwestie van tijd voordat DES zou vallen. In 1988 bouwde de EFF voor 250.000 dollar een machine die in minder dan drie dagen een DES-sleutel kon kraken [4]. Het algoritme viel niet van de ene op de andere dag, maar werd langzaam ingehaald door de vooruitgang.
• MD5/SHA-1: Hashfuncties zijn als de vingerafdrukken van data: uniek en bedoeld om fraude onmogelijk te maken. Toch vertoonde MD5 al in de jaren 90 scheuren, en in 2004 demonstreerden onderzoekers echte collisions. SHA-1 hield langer stand, maar in 2017 braken Google en CWI het met een chosen-prefix attack. Dat was het digitale equivalent van twee totaal verschillende mensen met identieke vingerafdrukken [5].

De conclusie? Algoritmen storten zelden in één keer in. Ze slijten van binnenuit. Zwakke plekken worden ontdekt, vervolgens steeds verder uitgebuit, totdat hun garanties langzaam wegvallen. Wat begint als een academische paper, eindigt vaak in een aanval in de echte wereld. Cryptografen waarschuwen, aanvallers lezen mee. En stukje bij beetje brokkelt het vertrouwen af, totdat het systeem op een dag bezwijkt onder een druk die eigenlijk allang zichtbaar was.