安全与密码学2018arxiv.org
破解用于保护数百万用户隐私的教科书式 RSA
Breaking Textbook RSA Used to Protect the Privacy of Millions of Users
进阶 · 约 60 分钟读完前置知识：RSA 基础、选择密文攻击概念、AES 基础
导读
这篇论文研究了 QQ 浏览器（以及 UC、百度等中国手机浏览器）用于保护用户上传数据（IMEI、浏览记录、位置等隐私信息）的加密协议，发现它们使用的是教科书式 RSA（无填充）等不安全的加密方案。作者通过逆向工程记录了这些协议，并演示了针对无填充 RSA 的选择密文攻击，可以逐位恢复加密的 AES 密钥，从而破解数亿用户的隐私数据保护。
HN 关注点：论文中对教科书式 RSA 的 CCA2 攻击简单而优雅，同时这些不安全加密保护的是数亿中国用户的敏感数据，涉及隐私与安全实践问题。
HN 评论精选
这几条评论里：补充 3 亲历 1
补充详解了论文中对无填充 RSA 的简单 CCA2 逐位恢复攻击
这篇论文的亮点是中间对无填充 RSA 的 CCA2 攻击，而这个攻击的妙处在于它非常简单。简化场景：客户端发送 RSA(aes-key) 和 AES(key, message)，服务器会用恢复出的 AES 密钥尝试解密，成功与否相当于一个预言机。攻击方法简单得离谱：由于 RSA 对乘法是同态的（可延展），攻击者可以把 RSA 消息中的 127 个 AES 密钥位移走，然后配上用 0b1000...0 密钥加密的 AES 密文发给服务器。如果服务器有响应，攻击者就知道真实密钥的最低位是 1。接着用 126 位移位重复，以此类推，直到整个密钥被逐位吃掉。
tptacek查看英文原文
What's cool about this paper is the CCA2 attack on unpadded RSA in the middle of it. What's cool about that attack is how simple it is. The setting, simplified: you send RSA(aes-key), AES(key, message). The server replies if the AES key it recovers from the RSA message successfully decrypts the AES ciphertext; the server is an oracle for whether the message is valid. The attack is stupid simple: the attacker shifts 127 of the AES key bits off of the RSA message --- the attacker can do this, because RSA is homomorphic with respect to multiplication and thus malleable --- and then sends the bit-shifted RSA message along with an AES ciphertext encrypted with the 0b1000...0 AES key. If that elicits a server response, the attacker knows the bottom bit of the real AES key is 1. The attacker repeats with a 126 bit shift, then the math teachers and so on until everyone is eaten.
补充指出论文揭示的浏览器大规模收集用户敏感数据问题
题外话——关于浏览器的用户数据收集：论文通过逆向工程记录了 QQ 浏览器保护其上传数据的加密协议。这些敏感信息包括 IMEI 号、访问过的网页、位置数据以及许多其他用户隐私数据。已有报告探讨了腾讯与国家行为体共享这些信息的可能性，而且 QQ 浏览器的数据收集与 UC 浏览器、百度浏览器等竞品如出一辙。
trhway查看英文原文
sidenote - user data collection by the browsers : >Through reverse engineering, we have documented the encryption protocols used by QQ Browser to protect the trove of sensitive information each client uploads to QQ Browser’s servers (this is summarized in Section 2). This sensitive information includes International Mobile Equipment Identifier (IMEI) numbers, web pages vis- ited, locational data, and many other kinds of private data about a QQ Browser user. The possibility that Tencent shares this information with state actors is explored in existing reports [15], and QQ Browser’s data collection mirrors competing browsers such as UC Browser [12] and Baidu Browser [14].
补充讽刺有些浏览器干脆假装加密而不真正防护
为什么不干脆假装做了 TLS、只是不对用户展示 MITM 攻击呢？就像（同样是中国背景的）CM 浏览器那样。
akaiser查看英文原文
Why not just pretend you do TLS and simply don't show MITM attacks to your users like the (also somehow Chinese) CM Browser does? https://medium.com/@dEad0r/cm-browser-insecurity-can-chinese-web-browsers-be-as-secure-as-they-claim-655627beb4be
亲历作者与评论者的巧合趣事
哈哈，我看到标题心想“破解教科书式 RSA 不正是我今天课上刚学的内容吗”，然后发现其中一位作者就是我的教授。
opsiprogram查看英文原文
haha i read this headline and thought to myself "breaking textbook RSA is EXACTLY what I was just learning about in class today" and then I noticed one of the authors is my professor
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2018Hacker News 讨论帖144 分 · 30 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选