Гугл је објавио библиотеку за идентификацију проблематичних криптографских кључева

Чланови Гоогле безбедносног тима објавили су библиотеку отвореног кода, Параноид, дизајнирану да идентификује слабе криптографске артефакте, као што су јавни кључеви и дигитални потписи, креирани у рањивом хардверу (ХСМ) и софтверским системима. Код је написан у Питхон-у и дистрибуира се под лиценцом Апацхе 2.0.

Пројекат може бити користан за индиректну процену употребе алгоритама и библиотека које имају познате празнине и рањивости које утичу на поузданост генерисаних кључева и дигиталних потписа ако су артефакти који се верификује генерисани хардвером који се не може верификовати или затвореним компонентама које представљају Црна кутија. Библиотека такође може анализирати скупове псеудослучајних бројева за поузданост њиховог генератора, и из велике колекције артефаката, идентификовати раније непознате проблеме који произилазе из програмских грешака или употребе непоузданих генератора псеудослучајних бројева.

Приликом коришћења предложене библиотеке за проверу садржаја јавног дневника ЦТ (Цертифицате Транспаренци), који укључује информације о више од 7 милијарди сертификата, нису пронађени проблематични јавни кључеви засновани на елиптичним кривинама (ЕЦ) и дигитални потписи засновани на ЕЦДСА алгоритму , али су проблематични јавни кључеви пронађени на основу РСА алгоритма. Конкретно, идентификовано је 3586 непоузданих кључева који су генерисани кодом са неисправљеном рањивости ЦВЕ-2008-0166 у ОпенССЛ пакету за Дебиан, 2533 кључа повезана са ЦВЕ-2017-15361 рањивостом у библиотеци Инфинеон и 1860 кључева са а. рањивост повезана са потрагом за највећим заједничким делиоцем (ГЦД). Информације о проблематичним сертификатима који остају у употреби послате су сертификационим тијелима ради њиховог опозива.

Извор: опеннет.ру