I membri del Google Security Team hanno pubblicato una libreria open source chiamata Paranoid, progettata per identificare artefatti crittografici inaffidabili, come chiavi pubbliche e firme digitali, create in sistemi hardware (HSM) e software vulnerabili. Il codice è scritto in Python e distribuito sotto licenza Apache 2.0.
Il progetto potrebbe rivelarsi utile per una valutazione indiretta dell'uso di algoritmi e librerie che presentano vulnerabilità note e difetti che influenzano l'affidabilità delle chiavi e delle firme digitali generate, specialmente quando gli artefatti verificati sono prodotti da componenti hardware non verificabili o chiusi, che operano come una scatola nera. La libreria può anche analizzare set di numeri pseudo-casuali per verificare l'affidabilità del loro generatore, scoprendo problemi precedentemente sconosciuti derivanti da errori di programmazione o dall'uso di generatori di numeri pseudo-casuali non affidabili.
Durante il controllo del contenuto del registro pubblico CT (Certificate Transparency), che include informazioni su oltre 7 miliardi di certificati, non sono stati trovati problemi con le chiavi pubbliche basate su curve ellittiche (EC) e firme digitali basate sull'algoritmo ECDSA, ma sono state trovate chiavi pubbliche problematiche basate sull'algoritmo RSA. In particolare, sono state identificate 3586 chiavi non affidabili generate da codice con una vulnerabilità non corretta CVE-2008-0166 nel pacchetto OpenSSL per Debian, 2533 chiavi correlate alla vulnerabilità CVE-2017-15361 nella libreria Infineon e 1860 chiavi con una vulnerabilità legata alla ricerca del massimo comune divisore (GCD). Le informazioni sui certificati problematici ancora in circolazione sono state inviate agli enti certificatori per il loro ritiro.
Fonte: opennet.ru
