OpenSSH 9.5 verschleiert Tastatureingaben

[Christian Weisgerber]

Das gerade veröffentlichte OpenSSH 9.5 hat nun eine Funktion bekommen,
die jahrelang immer wieder nachgefragt worden war: die Verschleierung
von Tastatureingaben.

Kleine Datenpakete, die Tastatureingaben entsprechen können, werden
in einem festen Zeitraster (Standard: alle 20ms) geschickt. Außerdem
werden hinterher noch eine zufällige Zahl Täuschungspakete geschickt.
Damit ist es einem Lauscher nicht mehr möglich, aus zeitlichem
Abstand und Anzahl von Datenpaketen Rückschlüsse auf den Inhalt zu
ziehen. Typischer Anwendungsfall: Jemand meldet sich mit ssh auf
einem fernen Rechner an und tippt dort ein Passwort ein.

Im Originaltext:

* ssh(1): add keystroke timing obfuscation to the client. This attempts
to hide inter-keystroke timings by sending interactive traffic at
fixed intervals (default: every 20ms) when there is only a small
amount of data being sent. It also sends fake "chaff" keystrokes for
a random interval after the last real keystroke. These are
controlled by a new ssh_config ObscureKeystrokeTiming keyword.

http://www.openssh.com/txt/release-9.5

[Marco Moock]

Jemand meldet sich mit ssh auf einem fernen Rechner an und tippt dort
ein Passwort ein.

Inwiefern kann ein Angreifer das nutzen?
Solange der keinen Zugriff auf den privaten Schlüssel hat, sollte der
doch von den Daten keinen Nutzen haben, oder?

[Marcel Mueller]

Post by Marco Moock

Jemand meldet sich mit ssh auf einem fernen Rechner an und tippt dort
ein Passwort ein.

Inwiefern kann ein Angreifer das nutzen?
Solange der keinen Zugriff auf den privaten Schlüssel hat, sollte der
doch von den Daten keinen Nutzen haben, oder?

Naja, es gibt eine Einschränkung des Lösungsraumes. Man kennt die Länge
des Passworts und ggf. auch noch ein paar Korrelationen, denn bei
unterschiedlichen Buchstabenpaaren schwankt der zeitliche Abstand
statistisch etwas. Das hängt zwar vom Eingabesystem ab, einhändig,
zweihändig, zehn Finger, aber das manifestiert sich auch im Timing.


Marcel

[Christian Weisgerber]

Post by Marco Moock

Jemand meldet sich mit ssh auf einem fernen Rechner an und tippt dort
ein Passwort ein.

Inwiefern kann ein Angreifer das nutzen?

Da verweise ich auf einen Aufsatz von 2001:

"Timing Analysis of Keystrokes and Timing Attacks on SSH"
https://www.usenix.org/conference/10th-usenix-security-symposium/timing-analysis-keystrokes-and-timing-attacks-ssh