De deelnemers van het Google Security Team hebben de open bibliotheek Paranoid gepubliceerd, die is bedoeld om onbetrouwbare cryptografische artefacten te identificeren, zoals openbare sleutels en digitale handtekeningen, die zijn gemaakt in kwetsbare hardware- (HSM) en softwaresystemen. De code is geschreven in Python en wordt verspreid onder de Apache 2.0-licentie.
Het project kan nuttig zijn voor een indirecte evaluatie van het gebruik van algoritmen en bibliotheken die bekende kwetsbaarheden bevatten die invloed hebben op de betrouwbaarheid van de gegenereerde sleutels en digitale handtekeningen, als de onderzochte artefacten zijn gegenereerd door hardware die niet controleerbaar is of door gesloten componenten die als een zwarte doos functioneren. De bibliotheek kan ook sets van pseudo-willekeurige nummers analyseren op de betrouwbaarheid van hun generator, en uit een grote verzameling artefacten onbekende problemen identificeren die voortkomen uit programmeerfouten of het gebruik van onbetrouwbare pseudo-willekeurige nummers.
Bij het controleren van de inhoud van het openbare CT-log (Certificate Transparency) met informatie over meer dan 7 miljard certificaten, zijn er geen problematische openbare sleutels gevonden gebaseerd op elliptische krommen (EC) en digitale handtekeningen op basis van het ECDSA-algoritme, maar zijn er wel problematische openbare sleutels gevonden gebaseerd op het RSA-algoritme. Er zijn in het bijzonder 3586 onbetrouwbare sleutels ontdekt, gegenereerd door code met een niet-opgeloste kwetsbaarheid CVE-2008-0166 in het OpenSSL-pakket voor Debian, 2533 sleutels, gerelateerd aan kwetsbaarheid CVE-2017-15361 in de Infineon-bibliotheek, en 1860 sleutels met een kwetsbaarheid met betrekking tot het zoeksysteem voor de grootste gemene deler (GCD). Informatie over de problematische certificaten die nog in omloop zijn, is naar de certificeringsinstanties gestuurd voor intrekking.
Bron: opennet.ru
