Cloudflare cảnh báo nguy cơ hạ cấp lượng tử trên IPsec
"The article describes a quantum downgrade attack risk in IPsec, where an on-path attacker can force endpoints to fall back from post-quantum to classical cryptography and potentially decrypt traffic. Cloudflare worked with the IETF to develop an IPsec downgrade-protection extension and has rolled out beta support in Cloudflare WAN and Magic Transit, with customers able to enable it via the ipsec_downgrade_protection flag. The issue is tied to the ongoing post-quantum migration and does not cite a CVE in the provided content."
Rủi ro chính là bị hạ cấp từ PQ xuống mật mã cổ điển trong quá trình bắt tay, có thể dẫn tới giải mã lưu lượng nếu kẻ tấn công kiểm soát đường truyền. Biện pháp giảm thiểu cần được bật đồng thời ở hai đầu.
Ảnh hưởng trực tiếp tới kết nối IPsec trong hạ tầng doanh nghiệp, đặc biệt với Cloudflare WAN và Magic Transit. Nếu chưa cập nhật, tổ chức có thể phải điều chỉnh cấu hình và phối hợp với nhà cung cấp để tránh gián đoạn triển khai.
Cloudflare cho biết đã phối hợp với IETF để phát triển một cơ chế giảm thiểu quantum downgrade attack trên IPsec, đồng thời triển khai hỗ trợ beta trong Cloudflare WAN và Magic Transit. Theo mô tả, kẻ tấn công nằm trên đường truyền có thể can thiệp vào quá trình bắt tay để buộc hai đầu kết nối rơi từ mật mã hậu lượng tử (PQ) về mật mã cổ điển, từ đó làm suy yếu khả năng bảo vệ của phiên truyền thông.
Vấn đề này xuất hiện trong bối cảnh quá trình chuyển đổi sang post-quantum cryptography vẫn đang diễn ra và nhiều hệ thống vẫn phải duy trì tương thích ngược với các giao thức cũ. Cloudflare cho biết cuộc tấn công với IPsec có thể cho phép giải mã lưu lượng giữa các đầu cuối đã hỗ trợ PQ nếu cơ chế bảo vệ hạ cấp không được bật.
Biện pháp mới yêu cầu cả hai phía cùng hỗ trợ extension này mới có hiệu lực. Khách hàng Cloudflare có thể kích hoạt bằng cách yêu cầu quản lý tài khoản bật cờ ipsec_downgrade_protection. Khuyến nghị kỹ thuật là rà soát cấu hình IPsec, đánh giá mức độ phụ thuộc vào PQ key agreement và lên kế hoạch triển khai cơ chế chống hạ cấp trong các môi trường kết nối quan trọng.