Teori değil, gerçek saldırılar
Vektörler, sahada istismar edilmiş zafiyetleri yeniden üretir: padding oracle'ları, geçersiz eğri noktaları, nonce kötüye kullanımı, imza şekillendirilebilirliği ve daha fazlası.
GÜVENLİK MİMARİSİ
Wycheproof Kanıtları
Kriptografimize körü körüne güvenmenizi istemiyoruz. OnionZero'nun dayandığı her primitif, Google'ın kamuya açık kriptografik saldırı vektörü paketi olan Project Wycheproof ile sınanır.
Project Wycheproof nedir?
Wycheproof, kriptografik uygulamaları kırmak için tasarlanmış, Google'ın açık kaynaklı test vektörü koleksiyonudur. Gerçek sistemleri fiilen tehlikeye atmış hataları — onlarca yıllık yayımlanmış saldırıları — makine tarafından denetlenebilir test vakalarına dönüştürür.
Sektör ölçütü
Wycheproof, büyük tarayıcıların, TLS kütüphanelerinin ve mobil platformların içindeki kriptografiyi doğrulamak için kullanılan paketin ta kendisidir. Geçmek, ciddi kripto mühendisliğinin asgari koşuludur.
Tekrarlanabilir ve kamuya açık
Test külliyatı açık ve sürümlüdür. Sonuçlar herkes tarafından yeniden üretilebilir — doğrulama bizim sözümüze dayanmaz.
Kanıtladığımız primitifler
OnionZero, küçük ve denetlenebilir bir standart primitif kümesi üzerine kuruludur — her biri, kendisini hedefleyen saldırı vektörleriyle sınanır.
AES-256-GCM — dosya şifreleme
Korunan her dosya için kimlik doğrulamalı şifreleme. Wycheproof vektörleri nonce tekrarını, etiket kırpmayı, uç durum anahtar ve IV boyutlarını ve doğrulama atlama girişimlerini sondalar.
Ed25519 — lisans imzaları
Çevrimdışı lisans zarflarının arkasındaki imza şeması. Şekillendirilebilirlik, uç durum açık anahtarlar ve asla geçmemesi gereken bozuk imzaların doğrulanmasına karşı test edilir.
X25519 — anahtar değişimi
Taraflar arasında sır kurulması gereken yerlerde kullanılan eliptik eğri anahtar anlaşması. Vektörler geçersiz ve küçük dereceli noktaları, twist saldırılarını ve katkı davranışı uç durumlarını kapsar.
Bunun sizin için önemi
Bir lisanslama ve koruma ürünü, en zayıf primitifi kadar güçlüdür. Wycheproof gibi saldırı paketleri tam da bu yüzden vardır — "standart bir algoritma kullandık" yetmez; sonucu uygulama ayrıntıları belirler.
- Korumanız, özel ve incelenmemiş bir şifreye dayanmaz
- Her primitif, kamuya açık test kapsamına sahip, yaygın çalışılmış bir standarttır
- Bilinen saldırı sınıfları, her sürümde yeniden test edilir
- Güvenlik incelemeniz, bağımsız ve kamuya açık bir ölçüte atıfta bulunabilir
PHP ÖTESİ
Aynı güvence PHP'nin ötesinde
OnionZero PE/İkili ve Android koruması, hazır .exe/.dll ikililerini ve Android APK'larını aynı güvenlik mimarisi altında mühürler:
- PE/İkili ve Android koruması aynı denetlenmiş primitif kümesine biner — yük mühürleme için AES-256-GCM, lisans imzaları için Ed25519 — aynı Wycheproof vektörleriyle sınanır.
- Satıcı açık anahtarı derleme zamanında çalışma zamanına gömülüdür (ionCube tarzı): müşterilerinizin doğrulama yaptığı açık anahtar, tam olarak test paketinin kapsadığı anahtardır.
Denetlenebilir kriptografi
Güvenlik değerlendirmeniz için ayrıntılar mı gerekiyor? Bizimle konuşun — incelemecilerinizi modelin içinde gezdirelim.