Os membros da Google Security Team publicaram uma biblioteca open-source chamada Paranoid, destinada a identificar artefatos criptográficos não confiáveis, como chaves públicas e assinaturas digitais, gerados em sistemas de hardware (HSM) e software vulneráveis. O código é escrito em Python e é distribuído sob a licença Apache 2.0.
O projeto pode ser útil para uma avaliação indireta da aplicação de algoritmos e bibliotecas que possuem vulnerabilidades conhecidas, afetando a confiabilidade das chaves e assinaturas digitais geradas, especialmente se os artefatos verificados são gerados por hardware inacessível para verificação ou componentes fechados que se comportam como uma caixa-preta. A biblioteca também pode analisar conjuntos de números pseudoaleatórios quanto à confiabilidade do seu gerador e, a partir de uma grande coleção de artefatos, identificar problemas desconhecidos que surgem devido a erros de programação ou ao uso de geradores de números pseudoaleatórios não confiáveis.
Na verificação com a biblioteca proposta do conteúdo do log público CT (Certificate Transparency), que inclui informações sobre mais de 7 bilhões de certificados, não foram encontrados chaves públicas problemáticas baseadas em curvas elípticas (EC) e assinaturas digitais baseadas no algoritmo ECDSA, mas foram encontradas chaves públicas problemáticas baseadas no algoritmo RSA. Em particular, foram identificadas 3586 chaves não confiáveis geradas por código com a vulnerabilidade não corrigida CVE-2008-0166 no pacote OpenSSL para Debian, 2533 chaves relacionadas à vulnerabilidade CVE-2017-15361 na biblioteca Infineon, e 1860 chaves com uma vulnerabilidade associada à busca do maior divisor comum (GCD). Informações sobre os certificados problemáticos ainda em uso foram enviadas para as autoridades certificadoras para revogação.
Fonte: opennet.ru
