Идите на корабли с полным набором криптографических пакетов в стандартной библиотеке, чтобы помочь разработчикам создавать безопасные приложения. завершить аудит основного набора пакетов, которые также проверяются как часть Аудит привел к одному выводу низкой степени тяжести, в наследственном и не поддерживаемом виде. , а также несколько информационных выводов. Полный текст аудиторского отчета можно найти . Трейлеры Bits Новый модуль FIPS 140-3 Интеграция Go+BoringCrypto здесь Сфера аудита включала наши внедрения ключевого обмена (ECDH и пост-квантовый ML-KEM), цифровой подписи (ECDSA, RSA и Ed25519), шифрования (AES-GCM, AES-CBC и AES-CTR), хаширования (SHA-1, SHA-2, и SHA-3), ключевого производства (HKDF и PBKDF2) и аутентификации (HMAC), а также криптографический генератор случайных чисел. Имплементации больших целых и эллиптических кривых низкого уровня с их деликатными ядрами сборки были включены. Мы гордимся историей безопасности пакетов криптографии Go и результатом этого аудита, который является лишь одним из многих способов получения уверенности в правильности пакетов. которые, например, отдают приоритет безопасности над производительностью. Мы делаем ставку на использование безопасных API даже для внутренних пакетов, и, естественно, мы можем полагаться на свойства языка Go, чтобы избежать проблем с управлением памятью. Принципы криптографии тщательно тестировать их Находка низкой тяжести Единственная потенциально эксплуатируемая проблема, TOB-GOCL-3, имеет , что означает, что это имело незначительное влияние и было трудно вызвать. Эта проблема была устранена в Go 1.24. Низкая тяжесть Крайне важно, чтобы ТОБ-ГОКЛ-3 ( ) касается управления памятью в , которая не включена по умолчанию и не поддерживается для использования за пределами Google. Подробнее обсуждалось ниже Легенда Go+BoringCrypto GOEXPERIMENT 5 Информационные находки Оставшиеся результаты являются , что означает, что они не представляют непосредственного риска, но относятся к лучшим практикам безопасности. Информационный Результаты TOB-GOCL-1, TOB-GOCL-2, и TOB-GOCL-6 касаются возможных временных побочных каналов в различных криптографических операциях. Из этих трех результатов только TOB-GOCL-2 влияет на операции, которые, как ожидалось, будут постоянными в течение времени из-за работы на секретных значениях, но это влияет только на цели Power ISA (GOARCH ppc64 и ppc64le). TOB-GOCL-4 подчеркивает риск злоупотребления в внутреннем API, если он будет перенаправлен за пределы его текущего случая использования. Время страничных каналов Результаты TOB-GOCL-1, TOB-GOCL-2, и TOB-GOCL-6 относятся к незначительным временным боковым каналам. TOB-GOCL-1 и TOB-GOCL-6 связаны с функциями, которые мы не используем для чувствительных значений, но могут быть использованы для таких значений в будущем, а TOB-GOCL-2 связан с монтажной реализацией P-256 ECDSA на Power ISA. : преобразование из байтов в элементы поля не является постоянным временем (TOB-GOCL-1) crypto/ecdh,crypto/ecdsa Внутренняя реализация эллиптических кривых NIST предоставила метод преобразования элементов поля между внутренним и внешним представлением, работающим в переменное время. Все использования этого метода работали на публичных входах, которые не считаются секретными (публичные ценности ECDH и публичные ключи ECDSA), поэтому мы определили, что это не проблема безопасности. , чтобы предотвратить случайное использование этого метода в будущем с тайными ценностями, и чтобы нам не пришлось думать о том, является ли это проблемой или нет. сделать метод постоянным временем в любом случае P-256 условное отрицание не является постоянным временем в сборке Power ISA (TOB-GOCL-2, CVE-2025-22866) crypto/ecdsa За пределами Go также поддерживает ряд дополнительных платформ, в том числе некоторые менее распространенные архитектуры.Во время обзора наших монтажных внедрений различных базовых криптографических примитивов команда Trail of Bits обнаружила одну проблему, которая повлияла на реализацию ECDSA на архитектурах ppc64 и ppc64le. Платформы первого класса Go Благодаря использованию инструкции условного разветвления при выполнении условного отрицания точек P-256 функция работала в переменном времени, а не в постоянном времени, как ожидалось. с моделью, которую мы уже используем в других местах, чтобы условно выбрать правильный результат в постоянное время. Замена инструкции условного разветвления Чтобы предоставить приоритет коду, который достигает большинства наших пользователей, и из-за специализированных знаний, необходимых для таргетинга конкретных МСА, мы, как правило, полагаемся на вклад сообщества для поддержания сборки для платформ, не относящихся к первому классу. : Scalar.SetCanonicalBytes не является постоянным временем (TOB-GOCL-6) crypto/ed25519 Внутренний пакет edwards25519 предоставил метод преобразования между внутренним и внешним представлением скаляров, работающих в переменное время. Этот метод был использован только для входов с подписью для ed25519.Verify, которые не считаются секретными, поэтому мы определили, что это не проблема безопасности. , чтобы предотвратить случайное использование этого метода в будущем с секретными значениями, и потому что мы знаем, что люди винтуют этот код вне стандартной библиотеки, и могут использовать его с секретными значениями. сделать метод постоянным временем в любом случае Управление памятью Cgo Поиск TOB-GOCL-3 касается проблемы управления памятью в интеграции Go+BoringCrypto. Настраиваемый финализатор может освободить память в начале вызова функции C с помощью этой памяти (TOB-GOCL-3) crypto/ecdh Во время обзора был ряд вопросов о нашей интеграции Go+BoringCrypto на основе cgo, которая обеспечивает FIPS 140-2-совместимый криптографический режим для внутреннего использования в Google. Команда Trail of Bits обнаружила одну уязвимость и одну Поскольку команда Go не поддерживает использование этого кода за пределами Google, мы решили не выпускать запись базы данных уязвимости CVE или Go для этой проблемы, но мы . Необеспеченная безопасность Bug Установил его в Go 1.24 Такая ловушка является одной из многих причин, по которым мы решили уйти от интеграции Go+BoringCrypto. который использует обычные пакеты чистой криптографии Go, что позволяет нам избежать сложной семантики cgo в пользу традиционной модели памяти Go. Натуральный режим FIPS 140-3 Полностью реализация Выводы TOB-GOCL-4 и TOB-GOCL-5 касаются ограниченных внедрений двух спецификаций, и . Нист SP 800-90A РФК 8018 API CTR_DRBG представляет собой множество рисков неправильного использования (TOB-GOCL-4) crypto/internal/fips140/drbg В качестве части В связи с тем, что мы вводим, нам понадобилась реализация NIST CTR_DRBG (детерминистический генератор случайных бит на основе AES-CTR), чтобы обеспечить соответствие случайности. Натуральный режим FIPS 140-3 Поскольку для наших целей нам нужен лишь небольшой подкомплект функциональности NIST SP 800-90A Rev. 1 CTR_DRBG, мы не реализовали полную спецификацию, в частности, исключив функцию производных и строки персонализации. Поскольку наша реализация тесно охвачена конкретным случаем использования, который нам необходим, и поскольку реализация не экспортируется публично, мы определили, что это было приемлемо и стоит уменьшения сложности реализации. Это уточняет эти ограничения. Добавить предупреждение к документации PBKDF2 не применяет ограничения длины выхода (TOB-GOCL-5) crypto/pbkdf2 В Go 1.24 мы начали процесс перемещения пакетов из в стандартную библиотеку, заканчивая запутанной моделью, где первоклассные, высококачественные и стабильные пакеты криптографии Go держались вне стандартной библиотеки без какой-либо конкретной причины. golang.org/x / криптовалюта В рамках этого процесса мы переместили При рассмотрении этого пакета команда Trail of Bits заметила, что мы не применили ограничения на размер производных ключей, определенные в . golang.org/x / криптовалюта / pbkdf2 РФК 8018 Границей является При использовании SHA-256, превышение лимита займет ключ более 137 ГБ. Мы не ожидаем, что кто-либо когда-либо использовал PBKDF2 для создания такого большого ключа, особенно потому, что PBKDF2 выполняет итерации на каждом блоке, но ради правильности, мы . (2^32 - 1) * <hash length> теперь применить предел, определенный стандартом Что будет дальше Результаты этого аудита подтверждают усилия команды Go по разработке высококачественных, простых в использовании криптографических библиотек и должны предоставить доверие нашим пользователям, которые полагаются на них для создания безопасного и безопасного программного обеспечения. Тем не менее, мы не спим на лаврах: вкладчики Go продолжают развивать и улучшать библиотеки криптографии, которые мы предоставляем пользователям. Go 1.24 теперь включает режим FIPS 140-3, написанный в чистом Go, который в настоящее время проходит тестирование CMVP. Это обеспечит поддерживаемый режим FIPS 140-3 для всех пользователей Go, заменяя в настоящее время не поддерживаемую интеграцию Go+BoringCrypto. Мы также работаем над внедрением современной постквантовой криптографии, внедряя внедрение ML-KEM-768 и ML-KEM-1024 в Go 1.24 , и добавление поддержки к пакету crypto/tls для гибридного ключевого обмена X25519MLKEM768 . Пакет криптовалюты / mlkem Наконец, мы планируем ввести новые, более простые в использовании API криптографии высокого уровня, предназначенные для уменьшения барьера для отбора и использования высококачественных алгоритмов для базовых случаев использования.Мы планируем начать с предложения простого API для хаширования паролей, который устраняет необходимость для пользователей решить, на какой из множества возможных алгоритмов они должны полагаться, с механизмами автоматической миграции на более новые алгоритмы в качестве перемен современного уровня. Роланд Шумейкер и Филиппо Валсорда Эта статья доступна на The Go Blog под лицензией CC BY 4.0 DEED. Блог Go Блог Go Фото Batyrkhan Shalgimbekov на сайте Unsplash Батырхан Шалгимбеков Unsplash

Try and Download Go 

Read My Stories

Этот звук создан на языке оригинала истории!

Пакеты криптографии Go были проверены: результаты

About Author

КОММЕНТАРИИ

БИРКИ

ЭТА СТАТЬЯ БЫЛА ПРЕДСТАВЛЕНА В

Related Stories

Полное руководство по успешной миграции в облако: стратегии и лучшие практики

Нажмите, чтобы заработать: Telegram может привлечь следующие 10 миллиардов пользователей криптовалюты до Соланы

Невидимые слои: почему интервью с пользователями являются незаменимым активом

Краткое введение в теорию мозга Больцмана

Полное руководство по успешной миграции в облако: стратегии и лучшие практики

Нажмите, чтобы заработать: Telegram может привлечь следующие 10 миллиардов пользователей криптовалюты до Соланы

Невидимые слои: почему интервью с пользователями являются незаменимым активом

Краткое введение в теорию мозга Больцмана

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps