Anëtarët e Google Security Team publikuan një bibliotekë të hapur, Paranoid, e cila është e destinuar për identifikimin e artefakteve kriptografike të pasigurta, si çelësat publikë dhe nënshkrimet digjitale, të krijuara në sisteme harduerike (HSM) dhe softuerike të cenueshme. Kodi është shkruar në gjuhën Python dhe shpërndahet nën licencën Apache 2.0.
Projektin mund ta konsideroni të dobishëm për vlerësimin e tërthortë të aplikimit të algoritmeve dhe bibliotekave që kanë dobësi dhe çështje të njohura, të cilat ndikojnë në besueshmërinë e çelësave dhe nënshkrimeve digjitale të gjeneruara, nëse artefaktet e verifikuara janë gjeneruar nga pajisje harduerike që nuk janë të qasshme për verifikim ose nga komponente të mbyllura që përfaqësojnë një kutë të zezë. Biblioteka gjithashtu mund të analizoje grupe numrash të rastësishëm për besueshmërinë e gjeneratorit të tyre, dhe të zbulojë probleme të panjohura deri tani që lindin nga gabimet në programim ose nga përdorimi i gjeneratorëve të pasigurt të numrave të rastësishëm.
Në verifikimin me anë të bibliotekës së propozuar të përmbajtjes së regjistrit publik CT (Certificate Transparency), e cila përfshin informacion rreth mbi 7 miliardë çertifikatash, nuk janë gjetur çelësa publikë problematikë të bazuar në kurba eliptike (EC) dhe nënshkrime digjitale të bazuara në algoritmin ECDSA, por janë gjetur çelësa publikë problematikë të bazuar në algoritmin RSA. Në veçanti, janë identifikuar 3586 çelësa të pasigurt, të gjeneruar nga kodi me një vulnerabilitet të paadresuar CVE-2008-0166 në paketën OpenSSL për Debian, 2533 çelësa të lidhur me vulnerabilitetin CVE-2017-15361 në bibliotekën Infineon, dhe 1860 çelësa me një vulnerabilitet që lidhet me gjetjen e numrit të madh të përbashkët (GCD). Informacioni për çertifikatat problematike që mbeten në përdorim është dërguar autoriteteve të lëshimit për t'u tërhequr.
Burimi: opennet.ru
