Anëtarët e Ekipit të Sigurisë së Google publikuan një bibliotekë të hapur Paranoid, e cila është e destinuar për identifikimin e artefakteve të pamjaftueshme kriptografike, siç janë çelësat publikë dhe nënshkrimet digjitale, të krijuara në sisteme të brishta harduerike (HSM) dhe softuerike. Kodi është shkruar në gjuhën Python dhe shpërndahet nën licencën Apache 2.0.
Projekti mund të jetë i dobishëm për vlerësimin indirekt të aplikacioneve të algoritmeve dhe bibliotekave, ku janë të njohura defekte dhe dobësi që ndikojnë në qëndrueshmërinë e çelësave dhe nënshkrimeve digjitale, nëse artefaktet e verifikuara gjenerohen nga harduer i padishëm për verifikim ose komponente të mbyllura, që përbëjnë një kuti të zezë. Biblioteka gjithashtu mund të analizohet grupe të numrave pseudokorridor për qëndrueshmërinë e gjeneratorit të tyre dhe për një koleksion të madh artefaktesh të identifikojë probleme të panjohura më parë, që rrjedhin nga gabimet gjatë programimit ose përdorimit të gjeneratorëve të pabesueshëm të numrave pseudokorridor.
Gjatë verifikimit me anë të bibliotekës së propozuar të përmbajtjes së logut publik CT (Transparenca e Certifikatës), që përfshin informacione për më shumë se 7 miliard certifikata, nuk janë gjetur çelësa publikë të problematikë mbi bazën e kurbave eliptike (EC) dhe nënshkrimet digjitale mbi bazën e algoritmit ECDSA, por janë gjetur çelësa publikë të problematikë me bazën e algoritmit RSA. Në veçanti, janë identifikuar 3586 çelësa të pabesueshëm, të gjeneruar nga kodi me dobësinë e pakorrigjuar CVE-2008-0166 në paketën OpenSSL për Debian, 2533 çelësa të lidhur me dobësinë CVE-2017-15361 në bibliotekën Infineon, dhe 1860 çelësa me dobësi që i referohen gjetjes së numrit më të madh të përbashkët (GCD). Informacioni për certifikatat problematike që mbeten në qarkullim është dërguar autoriteteve të certifikimit për të qenë të tërhequra.
Burimi: opennet.ru
