Компания Google анонсировала (https://security.googleblog.com/2016/12/project-wycheproof.h... проект Wycheproof (https://github.com/google/wycheproof), в рамках которого подготовлен инструментарий для выявления в различных реализациях алгоритмов шифрования известных недоработок и несоответствий с ожидаемым поведением, открывающих двери для проведения атак. Мелкие ошибки при реализации алгоритмов шифрования часто могут привести к катастрофическим последствиям, оставаясь слишком долго необнаруженными. Wycheproof рассчитан на оперативное определение подобных ошибок, которые встречаются значительно чаще, чем хотелось бы. Набор тестов написан на языке Java и распространяется (https://github.com/google/wycheproof) под лицензией Apache 2.0.
В настоящее время в Wycheproof реализовано более 80 тестов, проверяющих на наличие более 40 видов ошибок в реализациях алгоритмов RSA, DSA, ECDH и Diffie-Hellman, таких как некорректный выбор констант для построения эллиптической кривой, повторное использование параметров в схемах формирования цифровых подписей, различные виды атак на AES-EAX, AES-GCM, DH, DHIES, DSA, ECDH, ECDSA, ECIES и RSA.Для некоторых тестов код пока не открыт, так как они проверяют уязвимости, ещё не исправленные производителями (код будет открыт после устранения связанных с ними проблем). Например, исследователями Google выявлена возможность восстановления закрытого ключа в некоторых широко распространённых реализациях DSA и ECDHC, детали данной уязвимости пока не разглашаются, но тесты уже доступны в бинарном (https://github.com/google/wycheproof/blob/master/java/com/go... виде (https://github.com/google/wycheproof/blob/master/java/com/go....
Язык Java выбран для первого набора тестов из-за того, что Java предоставляет типовой криптографический интерфейс, что позволяет использовать одни тесты для проверки разных криптографических систем. В частности, инструментарий может применяться для проверки криптопровайдеров на базе Java Cryptography Architecture, таких как Bouncy Castle, Spongy Castle и средств шифрования из состава OpenJDK. При этом сами тесты написаны с учетом упрощения портирования на другие языки. Проект развивается командой Google Security Team, но не является официальным продуктом Google. Одним из авторов проекта является известный эксперт по криптографии Даниэль Блейхенбахер (Daniel Bleichenbacher (https://en.wikipedia.org/wiki/Daniel_Bleichenbacher)), автор нескольких практических атак на RSA.
URL: https://security.googleblog.com/2016/12/project-wycheproof.html
Новость: https://www.opennet.ru/opennews/art.shtml?num=45725
Вычёпруфф??
https://en.wikipedia.org/wiki/Wycheproof
> WycheproofПроверка на ВИЧ?
Справочка для любовницы :)
О да, главное - к названию прицепиться.
Ну хоть про режим Виши не вспомнили и то хорошо:)
А они про него знают?
Аргумент...
Виши? Это Вишванатан Ананд который? Да, режим у него был страшный, то цейтнот, то цугцванг. Магнус Карлсен его еле одолел.
Это был ответ с двойным дном, только для вас это не очевидно.
Забавно, что один из главных зондостроителей проверяет криптографические библиотеки. А найденные дырочки будут по тихому отправляться в Гугл?
Код открыт. Покажи где закладка.
В Java
Код Java открыт.
открытость != безопасность, оракель вас уже подпустил к корыту?
А ты докажи, что ее нет.
ага. софтверный аудит(вариант смвартфонная ост. вариант поисковая систем. вариант социальная сеть или почта) от стартапа ЦРУ. что может пойти "не так?" :=)
> тесты уже доступны в бинарном виде.А по ссылке какие-то исходники на жабе.
> А по ссылке какие-то исходники на жабе.Внимательно в них гляньте, это обёртки для манипуляции блобами.
Налицо мощь Java. Си быстрее, бидон лаконичнее, но побеждает тот, почти самый быстрый, почти самый удобный + со 100500 библиотеками промышленного качества.
В случае джава (и там, где она применяется) побеждает тот, который самый тупой и предсказуемый. Вот и здесь - куча криптографических фреймворков, но один апи. В других языках можно выбрать API в том числе. Но да, для прототипирования инструмента для тестов - удобно.
Еще бы такую же для выявления их в бинарном стриме...