Google ໄດ້ເຜີຍແຜ່ຫ້ອງສະໝຸດເພື່ອລະບຸລະຫັດລັບທີ່ມີບັນຫາ

ສະມາຊິກຂອງທີມງານຄວາມປອດໄພຂອງ Google ໄດ້ເຜີຍແຜ່ຫ້ອງສະໝຸດແຫຼ່ງເປີດ, Paranoid, ອອກແບບມາເພື່ອລະບຸຕົວປອມທີ່ເຂົ້າລະຫັດລັບທີ່ອ່ອນແອ, ເຊັ່ນ: ກະແຈສາທາລະນະ ແລະລາຍເຊັນດິຈິຕອນ, ສ້າງຂຶ້ນໃນຮາດແວທີ່ມີຄວາມສ່ຽງ (HSM) ແລະລະບົບຊອບແວ. ລະຫັດຖືກຂຽນໄວ້ໃນ Python ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ Apache 2.0.

ໂຄງການດັ່ງກ່າວອາດຈະເປັນປະໂຫຍດສໍາລັບການປະເມີນໂດຍທາງອ້ອມຂອງການນໍາໃຊ້ algorithms ແລະຫ້ອງສະຫມຸດທີ່ມີຊ່ອງຫວ່າງທີ່ຮູ້ຈັກແລະຊ່ອງໂຫວ່ທີ່ສົ່ງຜົນກະທົບຕໍ່ຄວາມຫນ້າເຊື່ອຖືຂອງກະແຈທີ່ຜະລິດແລະລາຍເຊັນດິຈິຕອນຖ້າຫາກວ່າສິ່ງປະດິດທີ່ຖືກກວດສອບແມ່ນສ້າງຂຶ້ນໂດຍຮາດແວທີ່ບໍ່ສາມາດກວດສອບໄດ້ຫຼືໂດຍອົງປະກອບປິດທີ່ເປັນຕົວແທນຂອງ ກ່ອງດຳ. ຫ້ອງສະຫມຸດຍັງສາມາດວິເຄາະຊຸດຂອງຕົວເລກ pseudorandom ສໍາລັບຄວາມຫນ້າເຊື່ອຖືຂອງເຄື່ອງກໍາເນີດໄຟຟ້າຂອງເຂົາເຈົ້າ, ແລະຈາກການເກັບກໍາຂະຫນາດໃຫຍ່ຂອງປອມ, ກໍານົດບັນຫາທີ່ບໍ່ຮູ້ມາກ່ອນທີ່ເກີດຈາກຄວາມຜິດພາດການຂຽນໂປຼແກຼມຫຼືການນໍາໃຊ້ເຄື່ອງສ້າງຈໍານວນ pseudorandom ທີ່ບໍ່ຫນ້າເຊື່ອຖື.

ເມື່ອນໍາໃຊ້ຫ້ອງສະຫມຸດທີ່ສະເຫນີເພື່ອກວດກາເບິ່ງເນື້ອໃນຂອງບັນທຶກສາທາລະນະ CT (ຄວາມໂປ່ງໃສ), ເຊິ່ງປະກອບມີຂໍ້ມູນກ່ຽວກັບຫຼາຍກ່ວາ 7 ຕື້ໃບຢັ້ງຢືນ, ບໍ່ມີລະຫັດສາທາລະນະທີ່ມີບັນຫາໂດຍອີງໃສ່ເສັ້ນໂຄ້ງຮູບຮີ (EC) ແລະລາຍເຊັນດິຈິຕອນໂດຍອີງໃສ່ລະບົບ ECDSA algorithm. , ແຕ່ກະແຈສາທາລະນະທີ່ມີບັນຫາຖືກພົບເຫັນໂດຍອ້າງອີງຈາກລະບົບ RSA algorithm. ໂດຍສະເພາະ, 3586 ກະແຈທີ່ບໍ່ເຊື່ອຖືໄດ້ຖືກກໍານົດວ່າຖືກສ້າງຂື້ນໂດຍລະຫັດທີ່ມີຊ່ອງໂຫວ່ທີ່ບໍ່ມີການແກ້ໄຂ CVE-2008-0166 ໃນຊຸດ OpenSSL ສໍາລັບ Debian, 2533 ກະແຈທີ່ກ່ຽວຂ້ອງກັບຊ່ອງໂຫວ່ CVE-2017-15361 ໃນຫ້ອງສະຫມຸດ Infineon a1860, ແລະກະແຈ XNUMX ອັນ. ຄວາມອ່ອນແອທີ່ກ່ຽວຂ້ອງກັບການຄົ້ນຫາຕົວຫານທົ່ວໄປທີ່ສຸດ (GCD). ຂໍ້ມູນກ່ຽວກັບໃບຢັ້ງຢືນທີ່ມີບັນຫາທີ່ຍັງຄົງຢູ່ໃນການນໍາໃຊ້ໄດ້ຖືກສົ່ງໄປຫາເຈົ້າຫນ້າທີ່ຢັ້ງຢືນສໍາລັບການຖອນຄືນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru