Google қауіпсіздік тобының мүшелері осал аппараттық құралдарда (HSM) және бағдарламалық жүйелерде жасалған ашық кілттер мен сандық қолтаңбалар сияқты әлсіз криптографиялық артефакттерді анықтауға арналған Paranoid атты ашық бастапқы кітапхананы шығарды. Код Python тілінде жазылған және Apache 2.0 лицензиясы бойынша таратылады.
Жоба жасалған кілттер мен цифрлық қолтаңбалардың сенімділігіне әсер ететін белгілі олқылықтары мен осалдықтары бар алгоритмдер мен кітапханаларды пайдалануды жанама бағалау үшін пайдалы болуы мүмкін, егер тексерілетін артефактілер тексерілмейтін аппараттық құралмен немесе жабық құрамдас бөліктермен жасалған болса. қара жәшік. Кітапхана сонымен қатар генератордың сенімділігі үшін жалған кездейсоқ сандар жиынын талдай алады және артефактілердің үлкен жинағынан бағдарламалау қателерінен немесе сенімсіз жалған кездейсоқ сандар генераторларын пайдаланудан туындайтын бұрын белгісіз мәселелерді анықтай алады.
Ұсынылған кітапхананы 7 миллиардтан астам сертификаттар туралы ақпаратты қамтитын CT (Certificate Transparency) жалпы журналының мазмұнын тексеру үшін пайдалану кезінде эллиптикалық қисық сызықтарға (EC) негізделген проблемалық ашық кілттер және ECDSA алгоритмі негізіндегі цифрлық қолтаңбалар табылмады. , бірақ проблемалық ашық кілттер RSA алгоритмі негізінде табылды. Атап айтқанда, Debian үшін OpenSSL бумасындағы CVE-3586-2008 түзетілмеген осалдықпен код арқылы жасалған 0166 сенімсіз кілт, Infineon кітапханасында CVE-2533-2017 осалдығымен байланысты 15361 кілт және 1860 кілт анықталды. ең үлкен ортақ бөлгішті (GCD) іздеумен байланысты осалдық. Қолданыста қалған проблемалық сертификаттар туралы ақпарат оларды қайтарып алу үшін сертификаттау органдарына жіберілді.
Ақпарат көзі: opennet.ru