摘要：本文介紹了SHA-1器件可能受到的攻擊，以及如何利用SHA-1器件本身特點(diǎn)或推薦的方案來(lái)防止可能遭受的攻擊，說(shuō)明了1-Wire?及iButton? SHA-1器件的安全性。對(duì)于各種類型的服務(wù)應(yīng)用(包括訪問(wèn)控制和電子錢包)來(lái)說(shuō)，1-Wire器件的數(shù)據(jù)和硬件認(rèn)證是關(guān)鍵所在。1-Wire/iButton SHA-1器件是移動(dòng)式令牌，可以基于隨機(jī)質(zhì)詢使用加密性能完善的散列算法生成信息認(rèn)證代碼(MAC)，因此，是上述服務(wù)應(yīng)用的理想選擇。

引言

在閱讀本文之前，請(qǐng)先回顧白皮書8：1-Wire SHA-1概述。該文中也介紹了一些作為電子支付(eCash)令牌的1-Wire SHA-1器件。

本文介紹了1-Wire器件可能受到的攻擊，以及如何利用1-Wire器件本身特點(diǎn)或推薦的方案來(lái)防止可能遭受的攻擊(為清晰起見，專用術(shù)語(yǔ)、命令或代碼以斜體字表示)。術(shù)語(yǔ)匯編見白皮書4: Glossary of 1-Wire SHA-1 Terms。

攻擊

什么是攻擊? 攻擊是所有惡意破壞并意圖欺騙系統(tǒng)的行為。其動(dòng)機(jī)因提供的不同服務(wù)而異。在電子支付系統(tǒng)(如自動(dòng)售貨機(jī))中, 其動(dòng)機(jī)也許是免費(fèi)小吃。如果攻擊針對(duì)的是一個(gè)頂級(jí)機(jī)密實(shí)驗(yàn)室的訪問(wèn)控制，動(dòng)機(jī)也許完全不同。以下攻擊方式大致按難度由簡(jiǎn)單到困難排列。所有這些攻擊均假設(shè)攻擊者均具有合法用戶令牌(即服務(wù)的一部分)的訪問(wèn)，這意味著設(shè)定了正確的認(rèn)證密碼并且器件中的數(shù)據(jù)是合法的。

復(fù)制攻擊

復(fù)制攻擊通過(guò)把合法的服務(wù)數(shù)據(jù)從一個(gè)器件(是服務(wù)的一部分)復(fù)制到另一個(gè)器件(也許是，也可能不是服務(wù)的一部分)來(lái)實(shí)現(xiàn)。如果安裝了正確的認(rèn)證密碼，則器件是服務(wù)的一部分。這種攻擊的目的是獲取一個(gè)合法令牌，并據(jù)之生成另一個(gè)，如此便生成了兩個(gè)合法令牌。這樣可將諸如身份或貨幣值(eCash)之類的屬性復(fù)制到另一個(gè)器件中，從而創(chuàng)造更多的貨幣或獲得原先沒(méi)有的訪問(wèn)權(quán)限。

條件	器件	防御攻擊的方式
目標(biāo)器件不是系統(tǒng)的一部分(認(rèn)證密碼不正確)。	DS1963S, DS1961S, DS2432, DS28E01	由于目標(biāo)器件的認(rèn)證密碼未設(shè)置成正確值，因此無(wú)論是什么數(shù)據(jù)，器件都將不被服務(wù)接受。
目標(biāo)器件是系統(tǒng)的一部分(認(rèn)證密碼正確)。	DS1963S	目標(biāo)器件將通過(guò)認(rèn)證測(cè)試。然而，借助于嵌套在服務(wù)數(shù)據(jù)中的另一個(gè)MAC碼(信息認(rèn)證代碼)，即該MAC (服務(wù)數(shù)據(jù)簽名)把令牌的ROM ID作為SHA-1計(jì)算的一部分，就會(huì)由于目標(biāo)器件有不同的ROM ID，因此數(shù)據(jù)將被認(rèn)為無(wú)效并且器件將被拒絕。
目標(biāo)器件是系統(tǒng)的一部分(認(rèn)證密碼正確)。	DS1961S, DS2432, DS28E01	向目標(biāo)器件寫數(shù)據(jù)時(shí)需要正確的MAC。由于攻擊者不知道密碼，因此不可能向器件寫數(shù)據(jù)。

復(fù)現(xiàn)攻擊

復(fù)現(xiàn)攻擊的攻擊者采用拷貝合法器件的生成服務(wù)數(shù)據(jù)的方法來(lái)實(shí)施攻擊。然后攻擊者用盡eCash或其它應(yīng)用領(lǐng)域。再將保存的數(shù)據(jù)復(fù)制回器件。這樣，原始數(shù)據(jù)被復(fù)現(xiàn)。

條件	器件	防御攻擊的方式
無(wú)	DS1963S	用來(lái)存放安全數(shù)據(jù)的每個(gè)頁(yè)都有一個(gè)只讀、非循環(huán)的寫頁(yè)面次數(shù)計(jì)數(shù)器。當(dāng)器件仍用正確密碼生成認(rèn)證MAC時(shí)，嵌套在服務(wù)數(shù)據(jù)中的另一個(gè)MAC (服務(wù)數(shù)據(jù)簽名)將會(huì)無(wú)效。該MAC包括它所在的寫頁(yè)面次數(shù)計(jì)數(shù)值和頁(yè)數(shù)。將原始數(shù)據(jù)寫回該頁(yè)或其他頁(yè)都將無(wú)效。即使重寫同樣的數(shù)據(jù)也將無(wú)效，因?yàn)閷戫?yè)面次數(shù)計(jì)數(shù)器將增加。
無(wú)	DS1961S, DS2432, DS28E01	目標(biāo)器件有寫保護(hù)特性，向其復(fù)制數(shù)據(jù)時(shí)需要正確的MAC。由于攻擊者不知道密碼，因此向該器件復(fù)制數(shù)據(jù)是不可能的。

竊聽攻擊

竊聽攻擊是一種監(jiān)測(cè)1-Wire通信以暴露密碼或可以被復(fù)制的重復(fù)碼型技術(shù)。

條件	器件	防御攻擊的方式
在合法交易中監(jiān)控并記錄1-Wire通信。	DS1963S, DS1961S, DS2432, DS28E01	當(dāng)認(rèn)證器件核實(shí)其是否屬于服務(wù)的一部分時(shí)，MAC計(jì)算包括一個(gè)隨機(jī)質(zhì)詢機(jī)制。該隨機(jī)值(salt)大大改變了每次交易過(guò)程中1-Wire通信的流量。另外，除了在受保護(hù)環(huán)境下安裝密碼外，密碼決不會(huì)出現(xiàn)在1-Wire總線上。

A-B-A攻擊

A-B-A攻擊試圖使兩種不同的貨幣SCU (服務(wù)控制單元)彼此互相干預(yù)，以欺騙它們提供更多產(chǎn)品然后做為補(bǔ)償。這種A-B-A攻擊先將令牌給予第一個(gè)SCU “A”。然后在支付現(xiàn)金之前將其去除，但應(yīng)足夠接近末端以使SCU認(rèn)為它是完整的只是沒(méi)有經(jīng)過(guò)認(rèn)證。這可通過(guò)監(jiān)測(cè)1-Wire通信來(lái)實(shí)現(xiàn)，并能在適當(dāng)?shù)臅r(shí)候中止該過(guò)程。然后SCU “A”將等待令牌被再引入，以核實(shí)支付行為是否完整。然后令牌被提供給另一個(gè)SCU “B”，完成一次完整的現(xiàn)金支付過(guò)程并生成產(chǎn)品。然后令牌回到第一個(gè)SCU “A”，證明交易完成。這會(huì)使“A”誤以為它完成了現(xiàn)金支付并再次提供產(chǎn)品。這樣一來(lái)，僅用一次支付便獲得了兩個(gè)產(chǎn)品。

條件	器件	防御攻擊的方式
SCU “A”上的交易必須在限定時(shí)間內(nèi)被終止。	DS1963S, DS1961S, DS2432, DS28E01	被稱為交易ID的隨機(jī)值是服務(wù)數(shù)據(jù)的一部分，它使每次支付事件唯一。當(dāng)返回SCU“A”以核實(shí)此次支付是否進(jìn)行完時(shí)，由于交易ID不正確，行動(dòng)將失敗。

仿真攻擊

利用微處理器仿真1-Wire令牌。仿真器必須足夠快，才能達(dá)到與實(shí)際器件接近的1-Wire主機(jī)響應(yīng)速度。如下所示，只要攻擊者不知道認(rèn)證密碼，就沒(méi)有危險(xiǎn)性。將ROM ID作為密鑰計(jì)算的一部分，使器件具有唯一的認(rèn)證密碼(唯一認(rèn)證密碼)，可進(jìn)一步降低系統(tǒng)風(fēng)險(xiǎn)。

條件	器件	防御攻擊的方式
認(rèn)證密碼未知。	DS1963S, DS1961S, DS2432, DS28E01	模擬器件不能針對(duì)給定質(zhì)詢生成正確的MAC。因此不會(huì)被接受作為服務(wù)的一部分。
認(rèn)證密碼已知。	DS1963S, DS1961S, DS2432, DS28E01	無(wú) 盡可能用最快的數(shù)據(jù)速率同SHA器件通信。1-Wire主機(jī)(SCU)希望在1ms至2ms內(nèi)完成SHA計(jì)算。這會(huì)使構(gòu)建這樣的模擬器非常困難。 永遠(yuǎn)不要暴露認(rèn)證密碼。

蠻力攻擊(MAC)

蠻力攻擊是對(duì)所有可能性進(jìn)行窮舉以取得想要的結(jié)果。這種攻擊的MAC有所不同，包括枚舉所有質(zhì)詢響應(yīng)對(duì)，并將結(jié)果保留在數(shù)據(jù)庫(kù)中以供模擬器使用。這需要訪問(wèn)合法的、屬于服務(wù)一部分的1-Wire器件。隨機(jī)質(zhì)詢是三個(gè)字節(jié)長(zhǎng)(DS28E01是五字節(jié)長(zhǎng))，可能的質(zhì)詢響應(yīng)對(duì)的數(shù)量超過(guò)160萬(wàn)(DS28E01的質(zhì)詢響應(yīng)對(duì)為1.1 × 1012)。由于計(jì)算出的SHA-1 MAC長(zhǎng)度是20個(gè)字節(jié)，因此3字節(jié)質(zhì)詢生成的數(shù)據(jù)為：0xFFFFFF (質(zhì)詢) × 20 (MAC的大小) = 335,544,300個(gè)字節(jié)(320MB)。從而生成預(yù)先計(jì)算MAC查尋表，供模擬器使用。

條件	器件	防御攻擊的方式
動(dòng)態(tài)數(shù)據(jù)(如eCash)。每當(dāng)器件出現(xiàn)時(shí)，生成并寫入帶有服務(wù)數(shù)據(jù)簽名的新服務(wù)紀(jì)錄。	DS1963S, DS1961S, DS2432, DS28E01	在將新服務(wù)紀(jì)錄寫入令牌之后，必須對(duì)其進(jìn)行重讀和認(rèn)證。對(duì)新服務(wù)紀(jì)錄的認(rèn)證有可能發(fā)現(xiàn)不同的MAC，模擬器必須也知道這一點(diǎn)。服務(wù)紀(jì)錄應(yīng)包含被稱為隨機(jī)的交易ID，這樣模擬器將不能預(yù)計(jì)新服務(wù)紀(jì)錄是什么，從而不能蠻力攻擊新MAC。
靜態(tài)數(shù)據(jù)。數(shù)據(jù)不變，僅被認(rèn)證。	DS1963S, DS1961S, DS2432, DS28E01	在認(rèn)證完靜態(tài)數(shù)據(jù)之后，給未使用的頁(yè)寫隨機(jī)數(shù)據(jù)并以該頁(yè)開始做另一次認(rèn)證。模擬器不會(huì)知道新的MAC。

蠻力攻擊(密碼)

密碼蠻力攻擊指枚舉所有可能的密碼，直到生成正確的MAC。作為服務(wù)一部分的令牌提供了什么是正確的MAC。如果發(fā)現(xiàn)了密碼，只要有能在1ms內(nèi)進(jìn)行雜散運(yùn)算的SHA-1協(xié)處理器，就可將它用在模擬器上。密碼長(zhǎng)度是八個(gè)字節(jié)(FFFFFFFFFFFFFFFF十六進(jìn)制)。如果在快速計(jì)算機(jī)上計(jì)算SHA-1需要1ms，那么枚舉所有密碼估計(jì)需要58萬(wàn)年。

條件	器件	防御攻擊的方式
超強(qiáng)計(jì)算能力和無(wú)限時(shí)間。	DS1963S, DS1961S, DS2432, DS38E01	各器件使用唯一的密碼(唯一認(rèn)證密碼)，從而減輕了問(wèn)題的嚴(yán)重性。這通過(guò)將器件的唯一ROM ID作為生成密碼的一部分?jǐn)?shù)據(jù)來(lái)實(shí)現(xiàn)。如果發(fā)現(xiàn)了密碼，系統(tǒng)不會(huì)整個(gè)崩潰。只有擁有該特定ROM ID的器件可以被模擬。把該ROM ID列入黑名單將防止攻擊者對(duì)其它器件進(jìn)行另一次蠻力攻擊。

微探針物理攻擊(密碼)

物理攻擊是試圖刺探內(nèi)部硅晶片以讀取唯一認(rèn)證密碼的攻擊方式。這一點(diǎn)很難做到，相比EEPROM器件，NV RAM器件(DS1963S)的難度更大。1-Wire SHA-1器件的iButton版本也增加了保護(hù)層，借助其封裝免受探針攻擊。硅晶片被保護(hù)在不銹鋼外殼里。如果把DS1963S中的電池拿走，即使只是很短的一段時(shí)間，內(nèi)部的密碼也會(huì)被清除。進(jìn)行蠻力攻擊時(shí)，如果發(fā)現(xiàn)了密碼，則它能被用在模擬器上，以獲取服務(wù)中的合法器件的行為信息。然后可用該模擬器件來(lái)復(fù)現(xiàn)原先的數(shù)據(jù)(如eCash)。這種攻擊的條件和部分解決方案同上文所述的蠻力密碼攻擊是一樣的。

主機(jī)/SCU攻擊(密碼)

對(duì)進(jìn)行認(rèn)證的1-Wire SCU進(jìn)行探查，以獲取主機(jī)認(rèn)證密碼和主機(jī)簽名密碼。

條件	器件	防御攻擊的方式
必須有訪問(wèn)SCU的物理權(quán)限。	無(wú)	可保證SCU的安全。例如，用一個(gè)不允許讀固件的安全微處理器，如DS5002。
必須有訪問(wèn)SCU的物理權(quán)限。	DS1963S作為協(xié)處理器	較理想的解決方案是把DS1963S作為“協(xié)處理器”，用于SCU中的器件認(rèn)證和數(shù)據(jù)確認(rèn)。探測(cè)時(shí)可保證密碼安全。但是，如果填充數(shù)據(jù)(原始簽名)已知，該協(xié)處理器可被用來(lái)生成合法的服務(wù)數(shù)據(jù)簽名。

競(jìng)爭(zhēng)者攻擊

競(jìng)爭(zhēng)者攻擊是試圖通過(guò)故意破壞數(shù)據(jù)，人為地使系統(tǒng)名譽(yù)受損的攻擊方式。

條件	器件	防御攻擊的方式
令牌必須提供給惡意攻擊者。	DS1963S	所有使令牌無(wú)效的數(shù)據(jù)都可被重寫。然而，通過(guò)檢查與之相聯(lián)系的寫頁(yè)面次數(shù)計(jì)數(shù)器可以檢測(cè)到寫密碼操作。如果器件與正確數(shù)據(jù)及密碼一起重新裝入，則它可以被重復(fù)利用。
令牌必須提供給惡意攻擊者。	DS1961S, DS2432, DS28E01	目標(biāo)器件具有保護(hù)特性，向用戶存儲(chǔ)器寫數(shù)據(jù)時(shí)需要正確的MAC。由于攻擊者不知道密碼，因此寫器件是不可能的。目標(biāo)器件也有針對(duì)密碼的寫保護(hù)機(jī)制。為防止攻擊者重寫密碼，該特性必須使能。

結(jié)束語(yǔ)

數(shù)據(jù)和硬件認(rèn)證是各種服務(wù)應(yīng)用(包括訪問(wèn)控制和電子貨幣)的關(guān)鍵所在。移動(dòng)令牌可以基于隨機(jī)質(zhì)詢并使用加密性能好的雜散生成信息認(rèn)證代碼(MAC)，是上述應(yīng)用的理想選擇。Dallas Semiconductor的1-Wire SHA-1器件提供了一種經(jīng)濟(jì)且堅(jiān)固的解決方案。