Participanții echipei de securitate Google au publicat o bibliotecă deschisă Paranoid, destinată identificării artefactelor criptografice nesigure, cum ar fi cheile publice și semnăturile digitale create în sisteme hardware (HSM) și software vulnerabile. Codul este scris în Python și este distribuit sub licența Apache 2.0.
Proiectul ar putea fi util pentru evaluarea indirectă a aplicării algoritmilor și bibliotecilor care au breșe cunoscute și vulnerabilități ce influențează fiabilitatea cheilor și semnăturilor digitale generate, în cazul în care artefactele verificate sunt generate de hardware inaccesibil pentru verificare sau componente închise care reprezintă o cutie neagră. Biblioteca poate analiza, de asemenea, seturi de numere pseudo-aleatoare pentru a verifica fiabilitatea generatorului acestora și, pe baza unei mari colecții de artefacte, poate identifica probleme necunoscute anterior, care apar din erori în programare sau utilizarea generatorilor nesiguri de numere pseudo-aleatoare.
În timpul verificării, cu ajutorul bibliotecii propuse, a conținutului jurnalului public CT (Certificate Transparency), care include informații despre mai mult de 7 miliarde de certificate, nu au fost identificate probleme cu cheile publice bazate pe curbe ellipice (EC) și semnăturile digitale bazate pe algoritmul ECDSA, dar au fost găsite chei publice problematice bazate pe algoritmul RSA. În special, au fost identificate 3586 de chei nesigure generate de cod cu o vulnerabilitate nerezolvată CVE-2008-0166 în pachetul OpenSSL pentru Debian, 2533 de chei legate de vulnerabilitatea CVE-2017-15361 în biblioteca Infineon, și 1860 de chei cu o vulnerabilitate legată de căutarea celui mai mare divizor comun (GCD). Informațiile despre certificatele problematice rămase în circulație au fost trimise autorităților de certificare pentru revocare.
Sursa: opennet.ro
