Criptografía (CL): Solución Reto picoCTF 2018 "eleCTRic"

Solución a otro reto de criptografía de la plataforma picoCTF 2018.

En esta ocasión se trata de un reto en el que se ve involucrado otro modo de operación, CTR ('Counter'), de los algoritmos de cifrado por bloques, y que,  en mi opinión y al igual que el reto de criptografía anterior, presenta un nivel de dificultad alto (★★★★☆).

- eleCTRic - Points: 400:

Su enunciado dice lo siguiente: 'You came across a custom server that Dr Xernon's company eleCTRic Ltd uses. It seems to be storing some encrypted files. Can you get us the flag? Connect with nc 2018shell.picoctf. com 61333. Source'.

Solución: Aunque por el título se puede sospechar claramente que en este reto se ve involucrado el modo de operación CTR de los algoritmos de cifrado por bloques, ésto se confirma a la vista del archivo fuente que se proporciona, ya que puedo ver que en él se cifra utilizado el criptosistema AES en ese modo.

Tal y como nos cuenta wikipedia, en el tipo de cifradores indicado anteriormente los mensajes en claro se dividen en bloques, y en el modo CTR se convierte una unidad de cifrado por bloques en una unidad de flujo de cifrado, de la siguiente manera: 

Si no lo entiendo mal, lo que se conoce como flujo de claves ('keystream') se forma cifrando en modo ECB ('Electronic Code-Book') un número aleatorio ('Nonce') combinado con un contador ('Counter'), y para obtener el texto cifrado o criptograma correspondiente se realiza XOR entre el resultado del cifrado anterior y el texto plano.

En este modo, si el valor del contador permanece constante se revela el flujo de claves ('keystream'), lo que produce como resultado la vulnerabilidad del cifrado, y, a la vista de las pistas dadas en la pestaña 'Hints' ('I have repeated myself many many many times- do not repeat yourself' y 'Do I need to say it in different words? You mustn't repeat thyself'), sospecho que esto es lo que ocurre en este reto, lo que también  confirmo a la vista del archivo fuente que se proporciona.

Dicho todo lo anterior vuelvo al reto. Me conecto al servicio, utilizo la opción para listar ficheros ('L[i]st files') y veo que hay un archivo que supuestamente contiene la bandera:

Pero, ¿cómo veo su contenido?. Voy a ver si consigo descubrir alguna forma.

Utilizo la opción para cifrar y almacenar un fichero ('E[n]crypt and store file'); se me pide: el nombre del fichero (introduzco 32 caracteres "a") y los datos o contenido del fichero (incluyo “prueba reto criptografia eleCTRic picoCTF 2018”), y se me proporciona un código de compartir (‘Share code’) codificado en base 64:

Vuelvo a utilizar la opción para listar ficheros ('L[i]st files') y veo que el fichero que acabo de cifrar se ha almacenado:

y, finalmente, utilizo la opción para descifrar un fichero ('D[e]crypt file'); se me pide el código de compartir (incluyo el que se me ha proporcionado) y se muestra el contenido en texto plano del fichero que he cifrado y almacenado:

Por tanto, para ver el contenido del fichero que supuestamente contiene la flag debo conocer su código de compartir (‘Share code’), y aquí es donde comienza el ataque.

Antes que nada, a la vista del código fuente que se proporciona y de la prueba realizada, si no me equivoco, concluyo lo siguiente:

a) El algoritmo utilizado para cifrar, tanto el nombre del fichero como su contenido, es AES.

b) El código de compartir que se asigna a un fichero depende únicamente del nombre que se le da a éste y no de su contenido.

c) El que en la prueba haya incluido 32 caracteres "a" como nombre del fichero a cifrar no ha sido casualidad, sino que lo he hecho para estar seguro de que el valor del contador no cambia. El código de compartir que se ha proporcionado para el fichero que he cifrado y almacenado es (base 64):

"zOzXO3bVKI/L6SvwADhk0szs1zt21SiPy+kr8AA4ZNKD+c4u"

En hexadecimal obtengo:

ccecd73b76d5288fcbe92bf0003864d2 ccecd73b76d5288fcbe92bf0003864d2 83f9ce2e

Y veo que el código correspondiente a los 16 primeros caracteres "a" es igual que el código correspondiente a los 16 siguientes caracteres "a", con lo que confirmo que el contador ha permanecido constante. Los últimos 4 Bytes se corresponden con la extensión del archivo (.txt).

d) Así que, básicamente, cada 16 Bytes se está haciendo XOR de los Bytes correspondientes del texto plano (nombre del archivo con la extensión) con el mismo valor.

Por tanto, para resolver este reto puedo hacer XOR del texto plano conocido (nombre del fichero con la extensión) con el texto cifrado conocido (código de compartir que se nos ha proporcionado) y obtener así el flujo de claves ('keystream').

Posteriormente sólo me queda hacer XOR del resultado obtenido en el paso anterior con el nombre de archivo que supuestamente contiene la bandera, para obtener su código de compartir, y, finamente, pedir al servicio que descifre el fichero con la flag introduciendo su código de compartir.

Para ello, creo un pequeño script en python:

import socket
from base64 import b64decode, b64encode

def seleccionar_opcion(opcion,nombre_fichero,contenido_fichero,keystream):
   while True:
      recibido=s.recv(1024).decode().strip()
      if 'Files:' in recibido:
         return recibido
      elif 'Name of file?' in recibido:
         s.send(nombre_fichero.encode())
         s.send(b'\n')
      elif 'Data?' in recibido:
         s.send(contenido_fichero.encode())
         s.send(b'\n')
      elif len(recibido)==141:
         return recibido
      elif 'Share code?' in recibido:
         s.send(keystream)
         s.send(b'\n')
      elif 'Please choose:' in recibido:
         return recibido

def cifrado(keystream, texto_plano):
    ret = bytearray()
    for i in range(0, len(texto_plano)):
        ret.append(keystream[i%len(keystream)] ^ ord(texto_plano[i]))
    return ret

s=socket.socket()
s.connect(('2018shell.picoctf.com',61333))

# Seleccionar la opcion de listar los ficheros y obtener fichero con la flag
opcion='i'
s.send(opcion.encode())
s.send(b'\n')
fichero_flag=seleccionar_opcion(opcion,'','','')[195:224]
print('[+] fichero con la flag:',fichero_flag)

# Seleccionar la opcion de cifrar fichero, incluir nombre del fichero y contenido, y obtener el codigo de compartir
opcion='n'
s.send(opcion.encode())
s.send(b'\n')
nombre_fichero='a'*32
print('[+] Fichero a cifrar (texto plano conocido):',nombre_fichero+'.txt')
contenido_fichero='prueba reto criptografia eleCTRic picoCTF 2018'
print('[+] Contenido de fihero a cifrar:',contenido_fichero)
codigo_compartir=seleccionar_opcion(opcion,nombre_fichero,contenido_fichero,'')[0:48]
print('[+] Codigo compartir fichero cifrado (texto cifrado conocido - b64):',codigo_compartir)

nombre_fichero+='.txt'
codigo_compartir=b64decode(codigo_compartir)

# Calcular keystream a partir del texto cifrado conocido y del texto plano conocido
keystream = bytearray()
for i in range(0,32):
    keystream.append(codigo_compartir[i]^ord(nombre_fichero[i]))

# Obtener el codigo compartir del fichero con la flag
codigo_compartir_flag=b64encode(cifrado(keystream,fichero_flag))
print('[+] Codigo compartir fichero con la flag - b64:',codigo_compartir_flag)

# Seleccionar la opcion de descifrar fichero, incluir codigo compartir del fichero con la flag, y obtener la solucion al reto
opcion='e'
s.send(opcion.encode())
s.send(b'\n')
flag=seleccionar_opcion(opcion,'','',codigo_compartir_flag)[0:54]
print('[+] Flag:',flag)

s.close

Lo ejecuto:

Y ya puedo ver la solución de este reto:

picoCTF{alw4ys_4lways_Always_check_int3grity_6c094576}