بجنون العظمة مشروع لاكتشاف نقاط الضعف في القطع الأثرية في التشفير
الكثير أعضاء فريق أمان Google من خلال مشاركة مدونة اتخذوا قرارًا بإصدار الكود المصدري لمكتبة "بجنون العظمة" ، مصممة لاكتشاف نقاط الضعف المعروفة في عدد كبير من أدوات التشفير غير الموثوق بها ، مثل المفاتيح العامة والتوقيعات الرقمية التي تم إنشاؤها في أنظمة الأجهزة والبرامج الضعيفة (HSM).
المشروع يمكن أن يكون مفيدًا للتقييم غير المباشر لاستخدام الخوارزميات والمكتبات التي تحتوي على ثغرات ونقاط ضعف معروفة تؤثر على موثوقية المفاتيح والتوقيعات الرقمية التي تم إنشاؤها ، سواء كانت القطع الأثرية التي يتم التحقق منها ناتجة عن أجهزة لا يمكن الوصول إليها للتحقق أو مكونات مغلقة تمثل صندوقًا أسود.
بالإضافة إلى ذلك ، تذكر Google أيضًا أن الصندوق الأسود يمكنه إنشاء قطعة أثرية ، في أحد السيناريوهات ، لم يتم إنشاؤها بواسطة إحدى أدوات Google الخاصة مثل Tink. سيحدث هذا أيضًا إذا تم إنشاؤه بواسطة مكتبة يمكن لـ Google فحصها واختبارها باستخدام Wycheproof.
الهدف من فتح المكتبة هو زيادة الشفافية ، والسماح للأنظمة البيئية الأخرى باستخدامها (مثل المراجع المصدقة ، والمراجع المصدقة التي تحتاج إلى إجراء فحوصات مماثلة لتلبية الامتثال) ، وتلقي مساهمات من باحثين خارجيين. من خلال القيام بذلك ، فإننا ندعو إلى تقديم مساهمات ، على أمل أنه بعد أن يجد الباحثون ثغرات في التشفير والإبلاغ عنها ، ستتم إضافة عمليات التحقق إلى المكتبة. بهذه الطريقة ، يمكن لـ Google وبقية العالم الاستجابة بسرعة للتهديدات الجديدة.
المكتبة يمكن أيضًا تحليل مجموعات من الأرقام شبه العشوائية لتحديد موثوقية المولد الخاص بك ، وباستخدام مجموعة كبيرة من القطع الأثرية ، حدد المشكلات غير المعروفة سابقًا والتي تنشأ بسبب أخطاء البرمجة أو استخدام مولدات الأرقام العشوائية الزائفة غير الموثوقة.
من ناحية أخرى ، تم ذكر ذلك أيضًا بجنون العظمة ميزات التنفيذ والتحسينات التي تم استخلاصها من الأدبيات الموجودة المتعلقة بالتشفير ، مما يعني أن إنشاء هذه القطع الأثرية كان معيبًا في بعض الحالات.
عند التحقق من محتويات السجل العام CT (شهادة الشفافية) ، والذي يتضمن معلومات عن أكثر من 7 مليارات شهادة ، باستخدام المكتبة المقترحة ، لم يتم العثور على المفاتيح العامة التي تنطوي على مشاكل استنادًا إلى المنحنيات الإهليلجية (EC) والتوقيعات الرقمية القائمة على الخوارزمية. ECDSA ، ولكن تم العثور على مفاتيح عامة إشكالية وفقًا لخوارزمية RSA.
بعد الكشف عن ثغرة ROCA ، تساءلنا عن نقاط الضعف الأخرى التي قد تكون موجودة في القطع الأثرية المشفرة التي تم إنشاؤها بواسطة الصناديق السوداء وما يمكننا القيام به لاكتشافها والتخفيف من حدتها. ثم بدأنا العمل في هذا المشروع في عام 2019 وأنشأنا مكتبة لإجراء عمليات تحقق مقابل عدد كبير من أدوات التشفير.
تحتوي المكتبة على تطبيقات وتحسينات للأعمال الموجودة الموجودة في الأدبيات. تظهر الأدبيات أن إنشاء القطع الأثرية معيب في بعض الحالات ؛ فيما يلي أمثلة على المنشورات التي تستند إليها المكتبة.
على وجه الخصوص ، تم تحديد 3586 مفتاحًا غير موثوق به تم إنشاؤها بواسطة التعليمات البرمجية ذات الثغرة الأمنية CVE-2008-0166 غير المصححة في حزمة OpenSSL لـ Debian ، و 2533 مفتاحًا مرتبطًا بالثغرة الأمنية CVE-2017-15361 في مكتبة Infineon ، و 1860 مفتاحًا للثغرة الأمنية المرتبطة بإيجاد العامل المشترك الأكبر (DCM) ).
لاحظ أن الغرض من المشروع هو أن يكون خفيفًا على استخدام الموارد الحسابية. يجب أن تكون عمليات الفحص سريعة بما يكفي لتشغيلها على عدد كبير من القطع الأثرية ويجب أن تكون منطقية في سياق الإنتاج في العالم الحقيقي. قد تكون المشاريع ذات القيود الأقل ، مثل RsaCtfTool ، أكثر ملاءمة لحالات الاستخدام المختلفة.
أخيرًا ، يُذكر أنه تم إرسال المعلومات المتعلقة بالشهادات الإشكالية التي ظلت قيد الاستخدام إلى مراكز التصديق لإبطالها.
إلى مهتم بمعرفة المزيد عن المشروع، يجب أن يعلموا أن الكود مكتوب بلغة Python ويتم إصداره بموجب ترخيص Apache 2.0. يمكنك الرجوع إلى التفاصيل ، وكذلك كود المصدر في الرابط التالي.