Soalan lazim
Hace unos años, un equipo de expertos en seguridad publicó un documento que describe un ataque que puede romper una conexión IKEv1 Aggressive Mode Pre-Shared Key utilizando un ataque que no sería igualmente posible con una conexión IKEv1 Main Mode Pre-Shared Key, lo que llevó a la suposición incorrecta de que el Modo Agresivo es inherentemente inseguro. Sin embargo, esta afirmación no está respaldada por hechos objetivos. Lo que la mayoría de las personas no saben es que parte de ese ataque fue la capacidad de adivinar la Clave Precompartida (PSK) utilizando un ataque de fuerza bruta y dicho ataque de fuerza bruta solo puede tener éxito si la PSK es débil. Una PSK también es solo una contraseña y, como con todas las contraseñas, elegir una contraseña débil siempre conduce a una mala seguridad. Siempre que su PSK tenga al menos 14 caracteres de largo (cuanto más larga, mejor), conste de letras minúsculas, letras mayúsculas y dígitos, y se haya generado aleatoriamente, por lo que es imposible adivinarla de alguna manera, y siempre que su algoritmo hash de Fase 1 sea al menos SHA1 (o mejor, recomendamos SHA-256 si es posible), no hay absolutamente ninguna razón para considerar el Modo Agresivo IKEv1 con Clave Precompartida como menos seguro que el Modo Principal IKEv1 con Clave Precompartida. Si desea estar aún más seguro, cambie a la autenticación basada en certificados en lugar de PSK si es posible, ya que entonces el ataque no es posible en absoluto.
Antecedentes técnicos:
La Clave Precompartida (PSK) no es una contraseña utilizada para cifrar ningún dato, se utiliza para la autenticación, como cuando inicia sesión en un sitio web con un nombre de usuario y una contraseña. Durante la Fase 1, ambas partes deben demostrarse mutuamente que conocen la PSK. Esto no puede hacerse simplemente enviándola a la otra parte, ya que si la otra parte no la conociera antes, la conocería después de recibirla. En cambio, ambas partes calculan un número (un resumen hash) a partir de los datos que han intercambiado hasta ahora (datos que serán diferentes cada vez que inicie una nueva conexión, lo que garantiza que el valor calculado también lo sea) y la PSK. Solo este resumen se envía al otro lado. La otra parte ahora puede verificar ese resumen realizando los mismos cálculos y comparando el resultado con el resumen recibido. Si ambos son iguales, el remitente debe haber utilizado la misma PSK en el cálculo, lo que demuestra el conocimiento de la PSK. Entonces, el receptor también calcula un resumen similar, utilizando una fórmula ligeramente diferente que antes, lo que lleva a un resultado completamente diferente, y lo envía de vuelta para demostrar también su conocimiento.
La diferencia entre el Modo Principal y el Modo Agresivo es simplemente que en el Modo Principal, el resumen se intercambia cifrado porque el intercambio de claves de sesión ya ha negociado una clave de cifrado de sesión cuando se intercambia el resumen, mientras que en el Modo Agresivo se intercambia sin cifrar como parte del intercambio de claves que conducirá a una clave de sesión. Al espiar el establecimiento de la conexión de una conexión de Modo Agresivo, los atacantes pudieron obtener el resumen así como todos los valores necesarios para calcular ese resumen, excepto la PSK en sí. Tenga en cuenta que esto por sí solo no significa que la conexión ya esté rota, solo significa que los atacantes ahora tienen suficientes datos para comenzar a adivinar la PSK utilizando un ataque de fuerza bruta o un ataque de diccionario. Solo si la PSK es demasiado débil para resistir esos ataques y los atacantes pueden adivinarla correctamente, se romperá la conexión. Por eso, una buena PSK segura es esencial.
El mismo ataque también es posible con una conexión Main Mode PSK, solo requiere un poco más de trabajo. Para una conexión Main Mode, no basta con simplemente espiar el tráfico, los atacantes necesitarían realizar un llamado ataque Man-in-the-Middle (MitM), lo que les permitiría capturar y manipular todo el tráfico intercambiado. Al realizar un ataque MitM, los atacantes pueden romper el intercambio de claves y, por lo tanto, podrán descifrar todos los paquetes intercambiados. Hacer esto no permitirá irrumpir en su VPN, todavía necesitan conocer la PSK para eso, de lo contrario no podrán autenticarse correctamente con el otro lado y luego la Fase 1 nunca se completará, pero de esa manera pueden obtener toda la información necesaria para comenzar a adivinar sobre la PSK, tal como en el caso de una conexión de Modo Agresivo. Y si un atacante ya es capaz de espiar el tráfico de su VPN (lo cual es necesario para atacar el Modo Agresivo), es muy probable que ese mismo atacante también pueda realizar un ataque MitM y, en ese caso, usar el Modo Principal no le ofrecerá ninguna protección adicional.
Una PSK de 11 caracteres alfanuméricos aleatorios ofrece una entropía de aproximadamente 64 bits, es decir, 2^64 posibles valores. Los adaptadores gráficos modernos de gama alta (a partir de 2015) pueden calcular en el orden de 1 mil millones de hashes SHA-256 por segundo. En promedio, uno tiene que probar el 50% de todos los valores posibles para encontrar una coincidencia, lo que serían unos 292 años. Sin embargo, si los atacantes tienen un conjunto de 100 de estos adaptadores gráficos, solo tomaría alrededor de 3 años. Si la PSK tiene 14 caracteres, la entropía es de aproximadamente 80 bits y ya está en 19,154,798 años. Incluso tener 10,000 adaptadores gráficos ayudaría mucho. También se deben considerar los costos de dicho ataque, que no son tanto el costo de comprar todos estos adaptadores gráficos, sino su consumo de energía cuando todos estos adaptadores gráficos funcionan a la corriente máxima las 24 horas del día y eso durante años, décadas o incluso siglos. Los costos de energía ascenderían a miles de millones de dólares y todo para simplemente romper una sola conexión PSK en todo el mundo. Y cada vez que cambie la PSK, un atacante debe comenzar desde cero, por lo que si cambia la PSK regularmente, digamos una vez al año, un atacante tiene como máximo un año para encontrarla; eso es muy ambicioso, incluso para una PSK débil.