A Google Security Team tagjai közzétették a Paranoid nyílt könyvtárat, amelyet megbízhatatlan kriptográfiai artefaktumok, például nyilvános kulcsok és digitális aláírások azonosítására terveztek, amelyeket sebezhető hardveres (HSM) és szoftveres rendszerek hoztak létre. A kód Python nyelven íródott és az Apache 2.0 licenc alatt terjesztik.
A projekt hasznos lehet a nyilvánvalóan sebezhető algoritmusok és könyvtárak alkalmazásának közvetett értékelésére, amelyek hatással vannak a létrehozott kulcsok és digitális aláírások megbízhatóságára, ha a vizsgált artefaktumokat ellenőrizhetetlen hardver vagy zárt alkatrészek, azaz fekete doboz generálja. A könyvtár képes elemzi a pszeudo-véletlenszám-generátorok megbízhatóságát is, és nagy mennyiségű artefaktum alapján azonosítani az ismeretlen problémákat, amelyek programozási hibák vagy megbízhatatlan pszeudo-véletlenszám-generátorok használatából adódnak.
A javasolt könyvtárral végzett ellenőrzés során a nyilvános CT (Certificate Transparency) napló tartalmán, amely több mint 7 milliárd tanúsítvány adatait tartalmazza, nem találtak problémás nyilvános kulcsokat elliptikus görbék (EC) alapján és ECDSA algoritmusra épülő digitális aláírásokat, de probléma volt a RSA algoritmus alapján készült nyilvános kulcsokkal. Különösen 3586 megbízhatatlan kulcsot találtak, amelyeket az OpenSSL Debian csomagjában talált CVE-2008-0166 sebezhetőséggel rendelkező kód generált, 2533 kulcsot a CVE-2017-15361 sebezhetőséggel kapcsolatban, amely az Infineon könyvtárban található, és 1860 kulcsot, amely a legnagyobb közös osztó (GCD) keresésével kapcsolatos sebezhetőség. Az elavult problémás tanúsítványok további információit az igazoló központok számára továbbították visszavonásra.
Forrás: opennet.ru
