22、针对可预测的IPsec ESP初始化向量的攻击

针对可预测的IPsec ESP初始化向量的攻击

IP安全架构（IPsec）在端到端连接加密、远程访问受保护的内部网络以及使用加密VPN隧道互连站点等方面得到了广泛应用。目前指定的IPsec ESP加密算法采用了密码块链接（CBC）模式，初始化向量（IV）会包含在每个数据包的密文中，以便接收方能够在数据包丢失或乱序的情况下解密单个数据包。

1. IPsec ESP IV的现状

IPsec规范中，ESP DES和其他密码的规范并未指定明确的IV选择算法，只是要求该算法满足某些特性。RFC 2451规定IV字段必须随机选择，且不能使用低汉明距离的源（如计数器），以避免非常相似的明文块进行ECB加密。然而，规范并不要求IV对外部方具有不可预测性，并且明确允许使用前一个数据包的最后一个密文块作为下一个IV的常见做法。

这种可预测IV的使用会导致一种自适应选择明文攻击，Scott Fluhrer在IPsec工作组邮件列表中指出了这一问题。攻击者可以使用这种攻击方式，通过暴力破解低熵明文块，并确认对任意明文块内容的猜测。

2. 攻击描述

2.1 攻击原理

攻击者首先观察受害者数据包，然后迫使受害者主机加密并发送攻击数据包。受害者块可以是受害者数据包中的任意块，而攻击块始终是攻击数据包中的第一个块。

根据CBC模式的定义，加密后的受害者块为：
[c1 = F(K, p1 ⊕ iv1)]
其中，⊕表示按位异或（XOR）运算符，F是块加密函数（如3DES），K是密钥，p1是受害者块，iv1根据受害者块是否为数据包中的第一个块，分别为数据包的IV或前一个密文块。

同样，加密后