Google публикува библиотека за откриване на проблемни криптографски ключове

Членовете на Google Security Team публикуваха открита библиотека Paranoid, предназначена за откриване на ненадеждни криптографски артефакти, като отворени ключове и цифрови подписи, създадени в уязвими хардуерни (HSM) и софтуерни системи. Кодът е написан на езика Python и се разпространява под лиценз Apache 2.0.

Проектът може да бъде полезен за косвена оценка на приложението на алгоритми и библиотеки, в които има известни бъгове и уязвимости, влияещи на надеждността на генерираните ключове и цифрови подписи, ако проверяваните артефакти се генерират от недостъпно за проверка хардуерно оборудване или затворени компоненти, представляващи черна кутия. Библиотеката също така може да анализира набори от псевдонаслучайни числа за надеждността на техния генератор и по голяма колекция от артефакти да открива неизвестни преди проблеми, произтичащи от грешки при програмирането или използването на ненадеждни генератори на псевдонаслучайни числа.

При проверка с предложената библиотека на съдържанието на публичния лог CT (Certificate Transparency), включващ информация за повече от 7 милиарда сертификата, не бяха открити проблемни отворени ключове на базата на елиптични криви (EC) и цифрови подписи, основани на алгоритъм ECDSA, но бяха открити проблемни отворени ключове на базата на алгоритъм RSA. В частност, бяха идентифицирани 3586 ненадеждни ключа, генерирани от код с неизправена уязвимост CVE-2008-0166 в OpenSSL пакета за Debian, 2533 ключа, свързани с уязвимост CVE-2017-15361 в библиотеката Infineon, и 1860 ключа с уязвимост, свързана с намирането на най-голямото общо делително (GCD). Информацията за оставащите в употреба проблемни сертификати беше изпратена на удостоверяващите центрове за тяхното оттегляне.

Източник: opennet.ru