'Ook gesigneerde Windows-bestanden gevoelig voor md5-collision'

MD5 heeft de eigenschap dat als MD5(x1) == MD5(x2) dan is MD5(x1 + y) == MD5(x2 + y).

Pertinent onwaar. Dat geldt alleen als x1 = x2 (duh), en verder met een kans van 2¹²⁸ op 1 als x1 ≠ x2.
.edit: excuus, ik las md5(x1+y1) = md5(x2+y2) als md5(x1) = md5(x2). Als ook geldt dat y1 = y2 klopt het natuurlijk wel.

Het signen van een file gebeurt door een hash te berekenen over de file, en die hash vervolgens te encrypten middels public key encryption, met je eigen privésleutel die niemand anders weet. Jouw publieke sleutel is bekend, dus iedereen kan je signature decrypten, en dat vergelijken met de door hunzelf berekende hash van de file. Zijn die identiek, dan is het de bedoeling dat er aangenomen kan worden dat de file niet gewijzigd is, en dat die file van jou afkomstig is. Want als de file wijzigt, dan wijzigt (doorgaans) ook de hash, en aangezien anderen jouw privésleutel niet hebben kan de nieuwe hash niet opnieuw gesigned worden.

Maar wat is er nu aan de hand? Er bestaat mogelijkheden om bij MD5 een collision te genereren. Oftewel, om een file zo aan te passen, dat de hash na de aanpassing identiek is aan de originele hash. Op die manier heb je de privésleutel van iemand niet nodig, omdat de hash identiek is, waardoor de al geencrypte originele hash als signature gebruikt kan worden. Er zijn meerdere van dit soort mogelijkheden. Er werd ontdekt dat, door een 128 byte blok in het bestand op een bepaalde manier aan te passen, het mogelijk is om de hash identiek te laten zijn.

Om dan terug te komen op jouw eigen opmerking:

Wat het artikel pertinent niet doet is, wat hier gesuggereerd wordt, executables maken die dezelfde hash hebben als een andere. Dus geen gefakete gesignde explorer.exe.

Dat kan dus wél! Alleen het enige wat de onderzoeker gedaan heeft is uitgaan van een bestaande applicatie en zijn collision counterpart (good.exe en evil.exe dus), waarbij hij good.exe via de officiele manier gesigned heeft, en voor evil.exe de signature simpelweg heeft gekopiëerd. Evil.exe is dus niet via de officiele manier gesigned, en kan dus net zo goed door een kwaadwillende zijn geproduceerd, door minimale aanpassingen op good.exe uit te voeren.

Natuurlijk, het blijft een vrij lastig probleem om een applicatie met minimale aanpassingen iets anders te laten doen. Maar je hoeft 'm natuurlijk maar zo aan te passen dat exploits van buitenaf mogelijk worden. Als er ook maar 1 bit in de code wijzigt dan kunnen de rapen al gaar zijn. Op zichzelf dan natuurlijk nog geen explorer.exe met een virus, maar dus wel een met exploit mogelijkheden

[Reactie gewijzigd door .oisyn op 20 januari 2009 16:05]

Lijkt een goed idee, maar dan met twee veilig geachte algoritmes.
In principe voegt het aan de orde van beveiliging niets toe (veilig + veilig blijft veilig), maar het geeft tijd voor het geval er een zwakte in een van de algoritmes gevonden wordt, om over te schakelen op een nieuw tweede algoritme.
Helemaal veilig krijg je het toch nooit. Het algoritme vertelt iets over het bestand, en niet over de totale bestand + sleutel combinatie. Als het maar veilig genoeg is.

Virusscanners om de tuin leiden heeft niks met Authenticode te maken. Ik mag hopen dat er geen scanner zo dom is om alle ondertekende bestanden automatisch als "veilig" te bestempelen -- daar is Authenticode niet voor.

Een scanner heeft zijn eigen signatures. Als die daarvoor MD5 gebruikt is het op dezelfde manier kwetsbaar als Authenticode, maar dat is een probleem van de scanner (en ook niet nieuw). De meeste scanners gebruiken naast of in plaats van hashes signatures waarin fragmenten van verdachte bestanden in opgenomen zijn om te herkennen. Die laten zich door MD5-gegoochel niet voor de gek houden, omdat ze puur zoeken op de signature van virus.exe, en niet gaan kijken of explorer.exe wel explorer.exe is.

Edit: Vroegâh was het trouwens wel zo dat virusscanners een optie hadden om van alle huidige bestanden hashes te trekken, zodat ze konden zien wanneer een bestand veranderd was (en er dus mogelijk met een virus aan geknoeid was). Maar echte virussen (die bestanden infecteren) zijn tegenwoordig zeldzaam, het zijn allemaal wormen, dus de "vertrouwde bestanden controleren op verandering" aanpak is bijna nutteloos geworden. Daarbij komt nog dat systeembestanden tegenwoordig vrij regelmatig veranderen, als gevolg van updates, dus daar zou dan ook nog rekening mee gehouden moeten worden.

[Reactie gewijzigd door MneoreJ op 20 januari 2009 13:19]