Google Коопсуздук Командасынын мүчөлөрү аялуу аппараттык камсыздоодо (HSM) жана программалык камсыздоо тутумдарында түзүлгөн коомдук ачкычтар жана санариптик кол тамгалар сыяктуу начар криптографиялык артефакттарды аныктоо үчүн иштелип чыккан Paranoid аттуу ачык булак китепканасын чыгарышты. Код Python тилинде жазылган жана Apache 2.0 лицензиясы боюнча таратылган.
Долбоор генерацияланган ачкычтардын жана санариптик кол тамгалардын ишенимдүүлүгүнө таасир этүүчү белгилүү боштуктары жана кемчиликтери бар алгоритмдердин жана китепканалардын колдонулушун кыйыр түрдө баалоо үчүн пайдалуу болушу мүмкүн, эгерде текшерилип жаткан артефакттар кол жеткис аппараттык каражаттар же кара кутуча болгон жабык компоненттер тарабынан түзүлсө. Китепкана ошондой эле алардын генераторунун ишенимдүүлүгү үчүн псевдордук сандардын топтомун талдай алат жана артефакттардын чоң коллекциясынан программалоо каталарынан же ишенимсиз псевдордук сан генераторлорун колдонуудан келип чыккан мурда белгисиз көйгөйлөрдү аныктай алат.
7 миллиарддан ашык сертификаттар жөнүндө маалыматты камтыган КТ (Сертификаттын ачыктыгы) коомдук журналынын мазмунун текшерүү үчүн сунушталган китепкананы колдонууда эллиптикалык ийри сызыктарга (EC) негизделген көйгөйлүү ачык ачкычтар жана ECDSA алгоритминин негизиндеги санариптик кол тамгалар табылган жок. , бирок көйгөйлүү ачык ачкычтар RSA алгоритминин негизинде табылган. Атап айтканда, Debian үчүн OpenSSL топтомундагы CVE-3586-2008 оңдолбогон аялуулугу бар код менен түзүлгөн 0166 ишенимсиз ачкыч, Infineon китепканасында CVE-2533-2017 кемчилиги менен байланышкан 15361 ачкыч жана 1860 ачкыч аныкталган. эң чоң жалпы бөлүүчүнү (GCD) издөө менен байланышкан аялуу. Колдонууда калган көйгөйлүү сертификаттар жөнүндө маалымат аларды жокко чыгаруу үчүн сертификаттоо органдарына жөнөтүлдү.
Source: opennet.ru