Tajemnicza podatność w Javie, która… może okazać się katastrofalna. Błąd kryptograficzny związany z podpisami cyfrowymi

Jeśli zobaczycie na kwietniowy Critical Patch Update odnośnie Javy, to pewnie machniecie ręką – eee, nic ciekawego.

Więc jeśli już machnęliście ręką, warto zapoznać się z tym wpisem: CVE-2022-21449: Psychic Signatures in Java.

Problem występuje w implementacji algorytmu podpisu ECDSA. Ultra krótkie wprowadzenie do problemu:

ECDSA stands for the Elliptic Curve Digital Signature Algorithm, and it is a widely used standard for signing all kinds of digital documents. Compared to the older RSA standard, elliptic curve keys and signatures tend to be much smaller for equivalent security, resulting in them being widely used in cases where size is at a premium. For example, the WebAuthn standard for two-factor authentication allows device manufacturers to choose from a wide range of signature algorithms, but in practice almost all of the devices manufactured to date support ECDSA signatures only (a notable exception being Windows Hello, which uses RSA signatures; presumably for compatibility with older TPM hardware).

Okazuje się, że wystarczy dla dowolnej wiadomości wygenerować „pusty podpis” (same zera) i taki podpis będzie prawdziwy:

Podatne są (tj. były): Java 15, Java 16, Java 17, Java 18 (łatka Oracle wskazuje jako podatne wersje: 7u331, 8u321, 11.0.14, 17.0.2, 18 – lub (w danej linii?) niższe). Polecamy dość szybko zaaplikować łatkę, w szczególności jeśli gdzieś bazujecie na podpisach wykorzystujących krzywe eliptyczne (patrz np. JWT i algorytmy ES*)

Tagi:

Podziel się postem :)

Najnowsze:

Bezpieczeństwo

Bezpieczeństwo domowej sieci WI-FI. 10 punktowy poradnik

Bezpieczeństwo domowej sieci Wi-Fi jest bardzo ważne, ponieważ w dzisiejszych czasach wiele urządzeń jest podłączonych do sieci, a wiele z nich przechowuje wrażliwe dane. W tym artykule przedstawimy kilka porad, jak zabezpieczyć swoją sieć Wi-Fi przed nieautoryzowanym dostępem.

Nauka

AI zmieni wszystko. Google pokazuje przykłady

Sztuczna inteligencja to najważniejsza technologia tego roku. I choć Microsoft wyprzedził Google’a w wyścigu o AI, to ten drugi wcale nie zamierza się z tym godzić. W najbliższych tygodniach da nam na to co najmniej kilka przykładów.

Inne

Zapowiedź cyfrowego euro. Europejczycy bez kont w banku?

Po 25 latach działalności Europejski Bank Centralny pochwalił się projektem cyfrowego euro. Nowa waluta ma mieć stabilną wartość i uniezależnić Europę od banków oraz pozaeuropejskich systemów płatniczych.

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *