Aggiornamenti recenti Aprile 15th, 2025 9:37 AM

partner

In collaborazione con

News Recenti

Vulnerabilità in decine di librerie crittografiche

Giu 30, 2022 News, RSS, Vulnerabilità 0

Queste librerie, molto utilizzate in progetti open source come OpenSSH, GnuPG e OpenSSL, sono vulnerabili al furto della chiave privata

Nella crittografia asimmetrica, EdDSA (Edwards-curve Digital Signature Algorithm, in italiano algoritmo di firma digitale con curva di Edwards) è uno schema di firma digitale.

Ed25519 è una sua versione più moderna che utilizza la funzione di hash SHA512 e la crittografia ellittica Curve25519 ed è considerato più aperto, sicuro e veloce dei suoi predecessori. Proprio per questo è diventato molto popolare in diversi settori, tra cui vari progetti Open Source (come OpenSSH, GnuPG e OpenSSL) e piattaforme di blockchain e criptovalute.

Una sua cattiva implementazione ha reso vulnerabili agli attacchi decine di librerie di crittografia. Secondo Konstantinos Chalkias, un crittografo di MystenLabs che ha scoperto e segnalato la vulnerabilità, gli aggressori potrebbero sfruttare il bug per rubare le chiavi private dai portafogli di criptovalute.

Per l’autenticazione dei messaggi l’algoritmo riceve un messaggio e una chiave privata, che viene utilizzata per calcolare quella pubblica e firmare il messaggio. Alcune librerie forniscono una variante della funzione di firma dei messaggi che prende anche la chiave pubblica precalcolata come parametro di input.

Chalkias ha scoperto che alcune di esse consentono di inserire chiavi pubbliche arbitrarie senza verificare se corrispondano alla chiave privata inserita. Grazie a questa lacuna un aggressore che può accedere al meccanismo di firma tramite una chiamata API potrebbe utilizzare diverse chiavi pubbliche e messaggi per ottenere gradualmente informazioni sui parametri delle chiavi private.

Nella pagina GitHub di MystenLabs è presente un elenco delle librerie coinvolte, che sono 38 all’ultimo aggiornamento del 28 di giugno. Per due di esse sono già disponibili delle patch. È inoltre disponibile una lista di protocolli e software che utilizzano o supportano Ed25519.

Condividi l'articolo
Pubblicata la lista delle 25 vulnerabilità più pericolose del 2022

Articoli correlati
Altro in questa categoria

Lascia un commento

Last Week Security IT

Spyware nordcoreano e bot malvagi

Ransomware: la serie

Trend Micro Partner Space

No posts found.


Kaspersky Partner Space