Deltagarna i Google Security Team har publicerat det öppna biblioteket Paranoid, avsett för att identifiera osÀkra kryptografiska artefakter, sÄsom öppna nycklar och digitala signaturer, skapade i sÄrbara hÄrdvaru- (HSM) och mjukvarusystem. Koden Àr skriven i Python och distribueras under Apache 2.0-licensen.
Projektet kan vara anvÀndbart för en indirekt bedömning av tillÀmpningen av algoritmer och bibliotek som har kÀnda sÀkerhetsbrister och sÄrbarheter, som pÄverkar tillförlitligheten hos de skapade nycklarna och digitala signaturerna, om de granskade artefakterna genereras av hÄrdvara som inte Àr tillgÀnglig för granskning eller av slutna komponenter som representerar en svart lÄda. Biblioteket kan ocksÄ analysera mÀngder av pseudotillfÀlliga nummer med avseende pÄ tillförlitligheten hos deras generator, och genom en stor mÀngd artefakter upptÀcka tidigare okÀnda problem som uppstÄr pÄ grund av programmeringsfel eller anvÀndning av osÀkra generatorer av pseudotillfÀlliga nummer.
Vid granskning med det föreslagna biblioteket av innehÄllet i den offentliga CT-loggen (Certificate Transparency), som innehÄller information om mer Àn 7 miljarder certifikat, har inga problematiska öppna nycklar av elliptiska kurvor (EC) eller digitala signaturer baserade pÄ algoritmen ECDSA identifierats, men problematiska öppna nycklar baserade pÄ RSA-algoritmen har hittats. SÀrskilt har 3586 osÀkra nycklar identifierats, genererade av kod med en obotad sÄrbarhet CVE-2008-0166 i OpenSSL-paketet för Debian, 2533 nycklar relaterade till sÄrbarheten CVE-2017-15361 i Infineon-biblioteket, samt 1860 nycklar med sÄrbarheten relaterad till att hitta den största gemensamma delaren (GCD). Informationen om de fortsatt cirkulerande problematiska certifikaten har skickats till certifikatutfÀrdare för Äterkallelse.
KĂ€lla: opennet.ru
