גוגל פרסמה ספרייה לזיהוי מפתחות קריפטוגרפיים בעייתיים

חברי צוות האבטחה של גוגל פרסמו ספריית קוד פתוח, Paranoid, שנועדה לזהות חפצים קריפטוגרפיים חלשים, כגון מפתחות ציבוריים וחתימות דיגיטליות, שנוצרו במערכות חומרה פגיעה (HSM) ותוכנה. הקוד כתוב ב-Python ומופץ תחת רישיון Apache 2.0.

הפרויקט עשוי להיות שימושי להערכה עקיפה של השימוש באלגוריתמים וספריות שיש להם פערים ופגיעות ידועים המשפיעים על המהימנות של מפתחות וחתימות דיגיטליות שנוצרו אם החפצים המאומתים נוצרים על ידי חומרה שלא ניתן לאמת או על ידי רכיבים סגורים המייצגים קופסה שחורה. הספרייה יכולה גם לנתח קבוצות של מספרים פסאודו אקראיים לאמינות המחולל שלהם, ומתוך אוסף גדול של חפצים, לזהות בעיות לא ידועות בעבר הנובעות משגיאות תכנות או שימוש במחוללי מספרים פסאודו אקראיים לא אמינים.

בעת שימוש בספרייה המוצעת לבדיקת תוכן היומן הציבורי CT (שקיפות תעודות), הכולל מידע על יותר מ-7 מיליארד תעודות, לא נמצאו מפתחות ציבוריים בעייתיים המבוססים על עקומות אליפטיות (EC) וחתימות דיגיטליות המבוססות על אלגוריתם ECDSA , אך נמצאו מפתחות ציבוריים בעייתיים בהתבסס על אלגוריתם RSA. בפרט, זוהו 3586 מפתחות לא מהימנים שנוצרו על ידי קוד עם הפגיעות הלא מתוקנת CVE-2008-0166 בחבילת OpenSSL עבור Debian, 2533 מפתחות הקשורים לפגיעות CVE-2017-15361 בספריית Infineon ו-1860 מפתחות. פגיעות הקשורה לחיפוש אחר המחלק המשותף הגדול ביותר (GCD). מידע על אישורים בעייתיים שנותרו בשימוש נשלח לרשויות האישורים לצורך ביטולם.

מקור: OpenNet.ru