I membri del Google Security Team hanno pubblicato una libreria open source chiamata Paranoid, progettata per identificare artefatti crittografici inaffidabili, come chiavi pubbliche e firme digitali, generate in sistemi hardware (HSM) e software vulnerabili. Il codice è scritto in Python e distribuito con licenza Apache 2.0.
Il progetto può risultare utile per una valutazione indiretta dell'uso di algoritmi e librerie che presentano note vulnerabilità, influenzando l'affidabilità delle chiavi e delle firme digitali generate se gli artefatti esaminati sono creati da hardware inaccessibili o componenti chiusi che fungono da scatola nera. La libreria può anche analizzare set di numeri pseudocasuali per testare l'affidabilità del loro generatore e, su una vasta collezione di artefatti, rilevare problemi precedentemente sconosciuti derivanti da errori di programmazione o dall'uso di generatori pseudocasuali inaffidabili.
Durante la verifica tramite la libreria proposta del contenuto del registro pubblico CT (Certificate Transparency), che include informazioni su oltre 7 miliardi di certificati, non sono stati rilevati problemi con le chiavi pubbliche basate su curve ellittiche (EC) e firme digitali basate sull'algoritmo ECDSA, ma sono state trovate chiavi pubbliche problematiche basate sull'algoritmo RSA. In particolare, sono state identificate 3586 chiavi inaffidabili, generate da codice con una vulnerabilità non corretta CVE-2008-0166 nel pacchetto OpenSSL per Debian, 2533 chiavi collegate alla vulnerabilità CVE-2017-15361 nella libreria Infineon, e 1860 chiavi con vulnerabilità legate alla ricerca del massimo comune divisore (GCD). Le informazioni sui certificati problematici ancora in uso sono state inviate agli enti certificatori per la loro revoca.
Fonte: opennet.ru
