Hiljattain Cryspenin tutkijat ovat paljastaneet haavoittuvuuden, joka koskee Kyber-avainkapselointimekanismia, jota käytetään kvanttisuojattuun salaamiseen. KyberSlash-nimisen haavoittuvuuden avulla salaiset avaimet voidaan mahdollisesti paljastaa, mikä uhkaa salausta.
Kyber on virallinen toteutus Kyber-avainkapselointimekanismista ja se kuuluu Algebraisista Hilaverkoista Koostuvien Kryptografisten Mallien (CRYSTALS) algoritmien joukkoon. Sen on suunniteltu kestämään hyökkäyksiä kvanttietietokoneilta ja se kuuluu National Institute of Standards and Technology (NIST) -järjestön kvanttisuojattujen algoritmien valikoimaan.
KyberSlash-haavoittuvuudet perustuvat ajankohtaisiin hyökkäyksiin, jotka hyödyntävät Kyberin salauksenpurkuprosessissa suoritettavia jakolaskuja. Hyökkääjät voivat analysoida suoritusaikaa ja päätellä salaisuuksia, jotka uhkaavat salausta. Tämäntyyppinen hyökkäys on mahdollinen, jos Kyber-toteutus sallii useita toimintapyyntöjä samalle avainparille, mikä mahdollistaa ajankohtaisuuserojen mittaamisen ja lopulta salaisen avaimen laskemisen.
Cryspenin tutkijat, mukaan lukien Goutam Tamvada, Karthikeyan Bhargavan ja Franziskus Kiefer, löysivät KyberSlash-haavoittuvuuksia aiheuttavan ongelmallisen koodin. Cryspen ilmoitti Kyberin kehittäjille KyberSlash1-haavoittuvuudesta, ja he julkaisivat korjauksen 1. joulukuuta 2023. Kuitenkin vasta 15. joulukuuta Cryspen alkoi ilmoittaa vaikutuksista kärsiville projekteille tarpeesta päivittää Kyber-toteutuksensa. KyberSlash2 korjattiin myöhemmin 30. joulukuuta sen löytymisen ja vastuullisen raportoinnin ansiosta Prasanna Ravi ja Matthias Kannwischer.
On laadittu luettelo vaikutuspiiriin kuuluvista projekteista ja niiden korjaustilanteesta. Jotkut projektit on päivitetty täysin, kun taas toiset ovat saaneet korjaukset vain KyberSlash1-haavoittuvuutta varten. Useat projektit ovat edelleen päivittämättä, mikä jättää ne haavoittuviksi KyberSlash-haavoittuvuudelle.
KyberSlashin vaikutus vaihtelee Kyber-toteutuksen ja lisävarotoimien mukaan. Esimerkiksi Mullvad VPN ilmoittaa, ettei se ole haavoittuvainen KyberSlashille, koska se käyttää uniikkeja avainpareja jokaiselle uudelle tunneliyhteydelle, mikä estää ajankohtaisten hyökkäysten sarjan.
Toimenpiteitä on käynnissä haavoittuvuuden käsittelemiseksi ja vaikuttavien toteutusten korjaamiseksi. Kuitenkin Signal-viestisovelluksen kaltaisten projektien täysi vaikutus ja toimenpiteet ongelman lieventämiseksi ovat vielä määrittelemättä.
On tärkeää, että organisaatiot ja kehittäjät, jotka käyttävät Kyberiä, pysyvät ajan tasalla haavoittuvuuksista ja soveltavat välittömästi saatavilla olevia korjauksia ja päivityksiä.
The source of the article is from the blog karacasanime.com.ve