¿Qué daño puede causar este error en la implementación de base32?

3

Hay un error en la implementación de Base32 en Apache Commons Codecs:

  

Ejemplo, no hay un valor de matriz de bytes que pueda codificarse en el   cadena "C5CYMIHWQUUZMKUGZHGEOSJSQDE4L ===", pero la Base32 existente   La implementación no la rechazaría, sino que la descodificaría de forma arbitraria.   valor que si se recodificara nuevamente usando la misma implementación sería   resulta en la cadena "C5CYMIHWQUUZMKUGZHGEOSJSQDE4K ===".      

En lugar de descodificar a ciegas la cadena no válida, el códec Base32   debe rechazarlo (por ejemplo, lanzando IlleglArgumentException) para evitar   explotación de la seguridad (como la información adicional de túneles a través de   cadenas de 32 bases aparentemente válidas).

Lo que no entiendo es cómo puede un atacante usar este error para canalizar información adicional. El atacante envía una cadena base32 no válida y obtiene una cadena base32 ligeramente diferente. ¿Qué daño puede causar?

    
pregunta Prvaak 30.09.2015 - 15:45
fuente

1 respuesta

2
  

"como la información adicional de túneles a través de cadenas 32 de base aparentemente válidas"

Este es el problema de seguridad expresado por quien informó ese error. A menudo se le llama un canal encubierto . Los canales encubiertos son formas de eliminar información de una zona de seguridad sin ser detectados.

En general, los canales encubiertos rara vez son un problema porque:

  1. Se pueden explotar en situaciones en las que el atacante ya se encuentra dentro de la zona de seguridad, momento en el que la mayor parte de la seguridad ya se ha ido por el desagüe.

  2. El seguimiento de todas las posibilidades de los canales ocultos es una tarea sin fin. La mayoría de los protocolos de comunicación permiten algunas variaciones que se pueden convertir en canales ocultos. El error en el decodificador Base32 es solo uno más, pero sería demasiado optimista creer que este es el único.

respondido por el Tom Leek 30.09.2015 - 16:08
fuente

Lea otras preguntas en las etiquetas