Google Security Team'i liikmed avaldasid avatud Paranoid teegi, mis on mõeldud ebaturvaliste krüptograafiliste artefaktide, nagu avalikud võtmed ja digitaalsed allkirjad, tuvastamiseks, mis on loodud haavatavates riistvara (HSM) ja tarkvarasüsteemides. Kood on kirjutatud Pythonis ja levitatakse Apache 2.0 litsentsi alusel.
Projekt võib olla kasulik kiireks hindamiseks algoritmide ja teekide kohta, millel on teadaolevad haavad ja haavatavused, mis mõjutavad loodud võtmete ja digitaalsete allkirjade usaldusväärsust, kui kontrollitavad artefaktid genereeritakse riistvara poolt, mis ei ole kontrollimiseks kättesaadav, või suletud komponentide, mis kujutavad endast musta kasti. Teek suudab samuti analüüsida pseudojuhuslike arvude kogumeid nende generaatori usaldusväärsuse osas ja avastada suurest artefaktide kollektsioonist varem teadmata probleeme, mis tulenevad programmeerimisvigadest või ebaturvaliste pseudojuhuslike arvude generaatorite kasutamisest.
Avalikust CT logi (Certificate Transparency), mis sisaldab üle 7 miljardi sertifikaadi teavet, kontrollimisel kasutades ettepanekud teeki ei leitud probleemseid avalikke võtmeid, mis põhinevad elliptilistel kõveratel (EC) ja digitaalsed allkirjad, mis on loodud ECDSA algoritmi alusel, kuid leiti probleemseid avalikke võtmeid, mis on loodud RSA algoritmi alusel. Eriti leiti 3586 ebaturvalist võtit, mis on genereeritud koodi kaudu, millel on parandamata haavatavus CVE-2008-0166 OpenSSL pakettide jaoks Debiani süsteemis, 2533 võtit, mis on seotud haavatavusega CVE-2017-15361 Infineoni teegis, ja 1860 võtit, millel on haavatavus, mis on seotud suurima ühise jagaja (GCD) leidmisega. Teave jäänud probleemsete sertifikaatide kohta saadeti sertifitseerimiskeskustele nende tagasikutsumiseks.
Allikas: opennet.ru
