Freitag, 3. Mai 2019

Why Receipt Notifications increase Security in Signal

This blog post is aimed to express and explain my surprise about Signal being more secure than I thought (due to receipt acknowledgments). I hope you find it interesting, too.

Signal, and especially its state update protocol, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Double Ratchet algorithm, are widely known for significantly increasing security for instant messaging. While most users first see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 end-to-end security induced by employing Signal in messaging apps, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 properties achieved due to ratcheting go far beyond protecting communication against (active) attackers on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wire. Due to updating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 local device secrets via cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Double Ratchet algorithm, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protocol ensures that attackers, who temporarily obtain a device's local storage (on which Signal runs), only compromise confidentiality of parts of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communications with this device. Thus, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 leakage of local secrets from a device only affects security of a short frame of communication. The exact duration of compromise depends on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 messaging pattern among cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communicating parties (i.e., who sends and receives when), as cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state update is conducted during cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sending and receiving of payload messages.


The Double Ratchet

The Double Ratchet algorithm consists of two different update mechanisms: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symmetric ratchet and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 asymmetric ratchet. The former updates symmetric key material by hashing and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n overwriting it with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hash output (i.e.,  k:=H(k)). Thus, an attacker, obtaining key material can only predict future versions of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state but, due to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 one-wayness of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hash function, cannot recover past states. The asymmetric ratchet consists of Diffie-Hellman key exchanges (DHKE). If, during cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communication, party A receives a new DH share gb as part of a message from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communication partner B, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n A samples a new DH exponent a and responds with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 respective DH share ga in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next sent message. On receipt of this DH share, B will again sample a new DH exponent b' and attach cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 DH share gb' to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next message to A. With every new DH share, a new DHKE gab is computed among A and B and mixed into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 key material (i.e., k:=H(k,gab)). For clarity, I leave out a lot of details and accuracy. As new DH shares ga and gb are generated from randomly sampled DH exponents a and b, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 computation of gab is hard if neicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r a nor b are known, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 key material recovers from an exposure of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 local secrets to an attacker after a new value gab was freshly established and mixed into it. Summing up this mechanism, if an attacker obtains cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 local state of a Signal client, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n this attacker cannot recover any previously received message (if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 message itself was not contained in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 local state), nor can it read messages that are sent after a new gab was established and mixed into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state. The latter case happens with every full round-trip among A and B (i.e., A receives from B, A sends to B, and A receives again from B).
Conceptual depiction of Double Ratchet in Signal two years ago (acknowledgments were only protected between client and server). The asymmetric ratchet fully updates cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 local secrets after one round-trip of payload messages.

Research on Ratcheting

During cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last two years, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Signal protocol inspired cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 academic research community: First, a formal security proof of Signal was conducted [1] and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n ratcheting was formalized as a generic primitive (independent of Signal) [2,3,4]. This formalization includes security definitions that are derived via 1. defining an attacker, 2. requiring security unless it is obvious that security cannot be reached. Protocols, meeting this optimal notion of security, were less performant than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Double Ratchet algorithm [3,4]. However, it became evident that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Double Ratchet algorithm is not as secure as it could be (e.g., recovery from exposure could be achieved quicker than after a full round-trip; see, e.g., Appendix G of our paper [3]). Afterwards, protocols (for slightly weakened security notions) were proposed that are similarly performant as Signal but also a bit more secure [5,6,7].

Protecting Acknowledgments ...

In our analysis of instant messaging group chats [8] two years ago (blog posts: [9,10]), we found out that none of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group chat protocols (Signal, WhatsApp, Threema) actually achieves real recovery from an exposure (thus cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 asymmetric ratchet is not really effective in groups; a good motivation for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 MLS project) and that receipt acknowledgments were not integrity protected in Signal nor WhatsApp. The latter issue allowed an attacker to drop payload messages in transmission and forge receipt acknowledgments to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sender such that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sender falsely thinks cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 message was received. Signal quickly reacted on our report by treating acknowledgments as normal payload messages: cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are now aucá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365nticated(-encrypted) using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Double Ratchet algorithm.

... Supports Asymmetric Ratchet

Two years after our analysis, I recently looked into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Signal code again. For a training on ratcheting I wanted to create an exercise for which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lines in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 code should be found that execute cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symmetric and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 asymmetric ratchet respectively. Somehow I observed that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 pure symmetric ratchet (only updates via hash functions) was nearly never executed (especially not when I expected it) when lively debugging cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 app but almost always new DH shares were sent or received. I realized that, due to encrypting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 receipt acknowledgments now, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 app always conducts full round-trips with every payload message. In order to observe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symmetric ratchet, I needed to temporarily turn on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 flight mode on my phone such that acknowledgments are not immediately returned.
Conceptual depiction of Double Ratchet in Signal now (acknowledgments encrypted). The asymmetric ratchet fully updates cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 local secrets after an acknowledgment for a message is received.

Consequently, Signal conducts a full DHKE on every sent payload message (in case cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 receiving device is not offline) and mixes cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 result into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state. However, a new DH exponent is always already sampled on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 previous receipt (see sketch of protocol above). Thus, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exponent for computing a DHKE maybe remained in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 local device state for a while. In order to fully update cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state's key material, two round-trips must be initiated by sending two payload messages and receiving cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 resulting two acknowledgments. Please note that not only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 mandatory receipt acknowledgments are encrypted but also notifications on typing and reading a message.

If you didn't understand exactly what that means, here a tl;dr: If an attacker obtains your local device state, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n with Signal all previous messages stay secure and (if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attacker does not immediately use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se secrets to actively manipulate future conversations) all future messages are secure after you wrote two messages (and received receipt acknowledgments) in all of your conversations. Even though this is very (in practice certainly sufficiently) secure, recent protocols provide stronger security (as mentioned above) and it remains an interesting research goal to increase cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir performance.

[1] https://eprint.iacr.org/2016/1013.pdf
[2] https://eprint.iacr.org/2016/1028.pdf
[3] https://eprint.iacr.org/2018/296.pdf
[4] https://eprint.iacr.org/2018/553.pdf
[5] https://eprint.iacr.org/2018/889.pdf
[6] https://eprint.iacr.org/2018/954.pdf
[7] https://eprint.iacr.org/2018/1037.pdf
[8] https://eprint.iacr.org/2017/713.pdf
[9] https://web-in-security.blogspot.com/2017/07/insecurities-of-whatsapps-signals-and.html
[10] https://web-in-security.blogspot.com/2018/01/group-instant-messaging-why-baming.html

Beliebte Posts