Gå skibe med en komplet suite af kryptografipakker i standardbiblioteket for at hjælpe udviklere med at opbygge sikre applikationer. at gennemføre en revision af det centrale sæt pakker, der også valideres som en del af Revisionen frembragte et enkelt lavt alvorligt resultat, i arv og ikke understøttet , og en håndfuld informationsresultater.Den fulde tekst i revisionsrapporten kan findes . Trail af Bits Ny FIPS 140-3 modul Go+BoringCrypto integration Her er Revisionens omfang omfattede vores implementeringer af nøgleudveksling (ECDH og post-kvante ML-KEM), digital signatur (ECDSA, RSA og Ed25519), kryptering (AES-GCM, AES-CBC og AES-CTR), hashing (SHA-1, SHA-2, og SHA-3), nøglederivation (HKDF og PBKDF2), og autentisering (HMAC), samt kryptografisk tilfældigt tal generator. Lavt niveau store hele og elliptiske kurve implementeringer, med deres delikate monteringskerner, blev inkluderet. højere niveau protokoller som TLS og X.509 var ikke i omfang. Vi er stolte af Go-krypteringspakkernes sikkerhedssporing og af resultatet af denne revision, hvilket kun er en af mange måder, hvorpå vi får tillid til pakkernes korrekthed. som for eksempel prioriterer sikkerhed over ydeevne. Vi gør et punkt for at udnytte sikre API'er selv for interne pakker, og selvfølgelig kan vi stole på Go-sprogegenskaberne for at undgå hukommelsesstyringsproblemer. Kryptografiske principper Test dem grundigt Et lavt sværhedsniveau fundet Det eneste potentielt udnyttelige problem, TOB-GOCL-3, har , hvilket betyder, at det havde en mindre indvirkning og var svært at udløse. Dette problem er blevet løst i Go 1.24. Lav sværhedsgrad Det er vigtigt at huske på, at TOB-GOCL-3 ( ) vedrører hukommelsesstyring i den , som ikke er aktiveret som standard og ikke understøttes til brug uden for Google. diskuteret yderligere nedenfor Læs mere om Go+BoringCrypto GOEXPERIMENT 5 Informationsresultater De resterende resultater er , hvilket betyder, at de ikke udgør en umiddelbar risiko, men er relevante for sikkerhed bedste praksis. informationsmæssigt Resultaterne TOB-GOCL-1, TOB-GOCL-2 og TOB-GOCL-6 vedrører mulige timing-side-kanaler i forskellige kryptografiske operationer. Af disse tre resultater påvirker kun TOB-GOCL-2 operationer, der forventes at være konstante på grund af at operere på hemmelige værdier, men det påvirker kun Power ISA-mål (GOARCH ppc64 og ppc64le). TOB-GOCL-4 fremhæver risikoen for misbrug i en intern API, hvis den skal genanvendes ud over sin nuværende brugsform. TOB-GOCL-5 peger på en manglende kontrol for en grænse, der er upraktisk at nå. Timing af side-kanaler Resultaterne TOB-GOCL-1, TOB-GOCL-2, og TOB-GOCL-6 vedrører mindre timing side-kanaler. TOB-GOCL-1 og TOB-GOCL-6 er relateret til funktioner, som vi ikke bruger til følsomme værdier, men kunne bruges til sådanne værdier i fremtiden, og TOB-GOCL-2 er relateret til monteringsimplementering af P-256 ECDSA på Power ISA. Konvertering fra byte til feltelementer er ikke konstant tid (TOB-GOCL-1) crypto/ecdh,crypto/ecdsa Den interne implementering af NIST elliptiske kurver gav en metode til at konvertere feltelementer mellem en intern og ekstern repræsentation, der opererede i variabel tid. Alle anvendelser af denne metode opererede på offentlige input, der ikke betragtes som hemmelige (offentlige ECDH-værdier og ECDSA-offentlige nøgler), så vi besluttede, at dette ikke var et sikkerhedsproblem. , for at forhindre utilsigtet brug af denne metode i fremtiden med hemmelige værdier, og så vi ikke behøver at tænke på, om det er et problem eller ej. Gør metoden konstant tid alligevel P-256 betinget negation er ikke konstant tid i Power ISA montering (TOB-GOCL-2, CVE-2025-22866) crypto/ecdsa Ud over den , Go understøtter også en række yderligere platforme, herunder nogle mindre almindelige arkitekturer.I løbet af gennemgangen af vores monteringsimplementationer af forskellige underliggende kryptografiske primitiver fandt Trail of Bits-teamet et problem, der påvirkede ECDSA-implementationen på ppc64 og ppc64le-arkitekturer. Første klasse Go platforme På grund af brugen af en betinget forgreningsinstruktion i implementeringen af den betingede negation af P-256 punkter, fungerede funktionen i variabel tid, snarere end konstant tid, som forventet. med et mønster, vi allerede bruger andre steder til betinget at vælge det korrekte resultat i konstant tid. Udskiftning af den betingede vejledning For at prioritere den kode, der når de fleste af vores brugere, og på grund af den specialiserede viden, der kræves for at målrette specifikke ISAs, er vi generelt afhængige af fællesskabsbidrag til at opretholde montering for ikke-førsteklasses platforme. Scalar.SetCanonicalBytes er ikke konstant tid (TOB-GOCL-6) crypto/ed25519 Den interne edwards25519 pakke gav en metode til at konvertere mellem en intern og ekstern repræsentation af skalarer, der opererede i variabel tid. Denne metode blev kun anvendt på signaturindtastninger til ed25519.Verify, som ikke betragtes som hemmelige, så vi besluttede, at dette ikke var et sikkerhedsproblem. , for at forhindre utilsigtet brug af denne metode i fremtiden med hemmelige værdier, og fordi vi er opmærksomme på, at folk forker denne kode uden for standardbiblioteket, og kan bruge den med hemmelige værdier. Gør metoden konstant tid alligevel Cgo hukommelseshåndtering At finde TOB-GOCL-3 vedrører et hukommelsesstyringsproblem i Go+BoringCrypto-integrationen. : Tilpasset finisher kan frigøre hukommelse ved starten af en C-funktion opkald ved hjælp af denne hukommelse (TOB-GOCL-3) crypto/ecdh Under gennemgangen var der en række spørgsmål om vores cgo-baserede Go+BoringCrypto-integration, som giver en FIPS 140-2-kompatibel kryptografimodus til intern brug hos Google. Trail of Bits-teamet fandt en sårbarhed og en Da Go-teamet ikke understøtter brugen af denne kode uden for Google, har vi valgt ikke at udstede en CVE- eller Go-sårbarhedsdatabaseindgang for dette problem, men vi . Ikke-sikkerhedsrelateret bug Læst op til 1.24 Denne form for fælde er en af de mange grunde til, at vi besluttede at flytte væk fra Go+BoringCrypto-integrationen. som bruger de almindelige rene Go-krypteringspakker, så vi kan undgå den komplekse cgo-semantik til fordel for den traditionelle Go-hukommelsesmodel. Native FIPS 140-3 tilstand Komplet gennemførelse Resultaterne af TOB-GOCL-4 og TOB-GOCL-5 vedrører begrænsede implementeringer af to specifikationer. og . NIST SP 800-90A Fx 8018 CTR_DRBG API præsenterer flere risikoer for misbrug (TOB-GOCL-4) crypto/internal/fips140/drbg Som en del af den Vi havde brug for en implementering af NIST CTR_DRBG (en AES-CTR-baseret deterministisk tilfældig bitgenerator) for at give compliant randomness. Native FIPS 140-3 tilstand Da vi kun har brug for en lille del af funktionaliteten af NIST SP 800-90A Rev. 1 CTR_DRBG til vores formål, har vi ikke implementeret den fulde specifikation, især med undtagelse af derivationsfunktionen og personaliseringsstrengene. Da vores implementering er strengt indskrænket til det specifikke brugstilfælde, vi har brug for, og da implementeringen ikke eksporteres offentligt, har vi fastslået, at dette var acceptabelt og værd implementeringens reducerede kompleksitet. Det beskriver disse begrænsninger. Tilføj en advarsel til dokumentationen PBKDF2 håndhæver ikke begrænsninger for udgangslængde (TOB-GOCL-5) crypto/pbkdf2 I Go 1.24 begyndte vi processen med at flytte pakker fra ind i standardbiblioteket, der ender med et forvirrende mønster, hvor førsteparts, høj kvalitet og stabile Go-krypteringspakker blev holdt uden for standardbiblioteket uden nogen særlig grund. af golang.org/x/crypto Som en del af denne proces flyttede vi Under gennemgangen af denne pakke bemærkede Trail of Bits-teamet, at vi ikke håndhævede grænsen på størrelsen af afledte nøgler defineret i . udbyder.dk/x/crypto/pbkdf2 Fx 8018 Grænsen er Når du bruger SHA-256, vil overskridelse af grænsen tage en nøgle på mere end 137GB. Vi forventer ikke, at nogen nogensinde har brugt PBKDF2 til at generere en nøgle så stor, især fordi PBKDF2 kører iterationerne på hver blok, men for korrekthedens skyld, vi . (2^32 - 1) * <hash length> opfylde den grænse, der er defineret i standarden Hvad er næste Resultaterne af denne revision bekræfter Go-holdets indsats for at udvikle kryptografibiblioteker af høj kvalitet, der er nemme at bruge, og bør give tillid til vores brugere, der stoler på dem til at opbygge sikker og sikker software. Vi hviler dog ikke på vores laureller: Go-medarbejderne fortsætter med at udvikle og forbedre de kryptografibiblioteker, vi giver brugerne. Go 1.24 indeholder nu en FIPS 140-3-tilstand skrevet i ren Go, som i øjeblikket gennemgår CMVP-test. Dette vil give en understøttet FIPS 140-3-kompatibel tilstand for alle Go-brugere, der erstatter den i øjeblikket ikke-understøttede Go+BoringCrypto-integration. Vi arbejder også på at implementere moderne post-kvantekryptering ved at indføre en ML-KEM-768 og ML-KEM-1024 implementering i Go 1.24 i , og tilføje støtte til crypto/tls pakken for den hybrid X25519MLKEM768 nøgleudveksling. Krypto/mlkem pakke Endelig planlægger vi at introducere nye nemmere at bruge high-level kryptografi API'er, der er designet til at reducere barrieren for at vælge og bruge algoritmer af høj kvalitet til grundlæggende brugssager.Vi planlægger at begynde med at tilbyde en simpel password hashing API, der fjerner behovet for brugere til at beslutte, hvilke af de myriader af mulige algoritmer, de skal stole på, med mekanismer til automatisk at migrere til nyere algoritmer som state-of-the-art ændringer. Roland Shoemaker og Filippo Valsorda Denne artikel er tilgængelig på The Go Blog under en CC BY 4.0 DEED licens. Bloggen går Bloggen går Foto af Batyrkhan Shalgimbekov på Unsplash Batyrkhan Shalgimbekov Unsplash

Try and Download Go 

Read My Stories

Denne lyd er produceret på historiens originalsprog!

Go's Kryptografi Pakker Var Auditeret: Resultaterne

About Author

KOMMENTARER

HÆNG TAGS

DENNE ARTIKEL BLEV PRÆsenterET I

Related Stories

Meet Google Cloud: HackerNoon Company of the Week

Meet Bybit: HackerNoon Company of the Week

Meet Timescale: HackerNoon Company of the Week

Avoid These Mistakes to Monetize Internet Products Profitably

Meet Google Cloud: HackerNoon Company of the Week

Meet Bybit: HackerNoon Company of the Week

Meet Timescale: HackerNoon Company of the Week

Avoid These Mistakes to Monetize Internet Products Profitably

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps