Kriptogrāfija reti cieš neveiksmi tāpēc, ka algoritms ir uzlauzts. Tā cieš neveiksmi detaļās ap to: nonce, kas atkārtojas, gadījumskaitļu ģenerators, kura sākumvērtība ir laiks, paraksts, kas tiek pārbaudīts, bet nav piesaistīts savam kontekstam, atslēga, kas atvasināta pareizi un pēc tam ierakstīta žurnālā.
Šīs kļūmes ir klusas. Sistēma darbojas, testi iziet, bet privāto atslēgu var atgūt no parakstiem, ko tā jau ir publicējusi. Risinājumā pārbaudām, ko tas pieņem, bet ieviešanā – vai šie pieņēmumi izpildās, un testējam izvadi tur, kur matemātika ļauj izdarīt secinājumu: parakstus, gadījumvērtības un šifrtekstus.
Lasām specifikāciju un formulējam drošības īpašības, ko risinājums apgalvo, un pieņēmumus, no kuriem tas ir atkarīgs.
02
Ieviešanas pārbaude
Kodu salīdzinām ar risinājumu. Skatāmies, kā tiek lietotas bibliotēkas un kur ieviešana atkāpjas no tā, ko prasa risinājums.
03
Izvades analīze
Sistēmas radītos parakstus, nonce un gadījumvērtības ar režģu un statistikas metodēm analizējam, meklējot novirzes, atkārtotu izmantošanu un struktūru.
04
Uzbrukuma demonstrācija
Ja nepilnību var izmantot uzbrukumā, demonstrējam to ar šim nolūkam ģenerētām testa atslēgām. Atslēgas, kas aizsargā reālus aktīvus, nekad nav demonstrācijas mērķis.
Katra konstatējuma bīstamības vērtējums un vektors.
FIRST
06Jautājumi
Jautājumi par šo pakalpojumu
Mēs izmantojam labi zināmu bibliotēku. Vai tur ir ko pārbaudīt?
Jā. Bibliotēka reti ir problēma. Kļūdas slēpjas tajā, kā tā tiek izsaukta, kādus parametrus tā saņem un kas notiek ar atslēgām pirms un pēc izsaukuma.
Vai strādāsiet ar mūsu produkcijas atslēgām?
Nē. Strādājam ar testa atslēgām un publiski pieejamu izvadi, piemēram, parakstiem. Ja publisko datu analīze parāda, ka produkcijas atslēga ir apdraudēta, jūs tūlīt informējam, un atslēgu neatjaunojam.
Vai varat pārbaudīt protokolu, kas pastāv tikai uz papīra?
Jā, un tas ir lētākais brīdis to darīt. Risinājuma nepilnība, kas atrasta pirms ieviešanas, maksā dokumenta izmaiņas.