Ataques de temporización y comparación en tiempo constante de secretos

Qué es

Existe un canal lateral de temporización cuando la duración de una operación depende de datos secretos. El caso clásico es comparar un valor enviado con un secreto almacenado mediante una igualdad ordinaria: la comparación termina en cuanto un byte difiere, de modo que un intento con el primer byte correcto tarda ligeramente más que uno con el primer byte incorrecto. Con mediciones repetidas, el ruido se promedia y permite a un atacante recuperar el valor byte a byte. Las bibliotecas estándar ofrecen comparaciones cuya duración no depende del contenido: hmac.compare_digest de Python usa "an approach designed to prevent timing analysis by avoiding content-based short circuiting behaviour" (un enfoque diseñado para impedir el análisis de temporización evitando cortocircuitos basados en el contenido); crypto.timingSafeEqual de Node compara los bytes subyacentes con un algoritmo de tiempo constante y, según su documentación, es adecuada para resúmenes HMAC, cookies de autenticación y URL de capacidad (capability URLs); subtle.ConstantTimeCompare de Go tarda un tiempo que depende de las longitudes y es independiente del contenido.

Por qué importa

Afecta a todo lo que un servidor compara con un secreto: firmas de webhooks, claves de API, tokens de restablecimiento de contraseña, identificadores de sesión, tokens CSRF y etiquetas HMAC de cookies firmadas. Que la fuga sea explotable a través de una red con ruido es cuestión del número de muestras, no de principio; la función de tiempo constante es barata y elimina el problema.

Cómo aplicarlo

• Compara todo valor que contenga un secreto con la función de tiempo constante de la plataforma, nunca con == ni con igualdad de cadenas. Tampoco busques el registro por el token en texto plano (WHERE token = ?), ya que la comparación de una base de datos no es una comparación en tiempo constante: busca por un id no secreto o por un hash del token y después compara en tiempo constante.
• Ten en cuenta la regla de la longitud. Las tres funciones tratan de forma especial las longitudes distintas: la nota de Python indica que una diferencia de longitud puede revelar las longitudes, pero no los valores; Node lanza una excepción; Go devuelve 0 de inmediato. Compara resúmenes de longitud fija, o hashes de las entradas, para que las longitudes siempre coincidan.
• Mantén constante todo el recorrido, no solo la comparación: cuando un nombre de usuario no existe, verifica igualmente la contraseña contra un hash ficticio para que "usuario desconocido" y "contraseña incorrecta" tarden lo mismo.
• Guarda los bearer tokens del lado del servidor como hashes y compara los hashes; así, una tabla filtrada tampoco contiene tokens utilizables.

Trampas

Una comparación en tiempo constante no corrige un paso de tiempo variable anterior, como una bifurcación según el prefijo del secreto o un decodificador que rechaza la entrada antes de tiempo; la documentación de Node indica que usar timingSafeEqual no garantiza que el código circundante sea seguro frente a ataques de temporización. La limitación de tasa (rate limiting) reduce las muestras del atacante, pero es una segunda línea de defensa, no un sustituto. Un bucle de comparación escrito a mano puede ser transformado por un compilador o un entorno de ejecución de maneras que reintroduzcan una temporización dependiente de los datos; usa la función de la biblioteca.