skip to Main Content

Cybersecurity, importante vulnerabilità sulle librerie ed25519

Cybersecurity, importante vulnerabilità sulle librerie ed25519. Yoroi: un attaccante può estrarre la chiave privata richiedendo la firma per due differenti messaggi afferenti alla stessa chiave privata, ma differente chiave pubblica

C’è un’importante vulnerabilità sulle librerie ed25519. Lo denunciano gli esperti di cybersecurity di Yoroi. Un recente studio ha rivelato che esistono degli applicativi che fanno uso delle librerie in API che richiedono un chiave pubblica in input. In questo specifico caso è possibile per un attaccante estrarre la chiave privata richiedendo la firma per due differenti messaggi afferenti alla stessa chiave privata, ma differente chiave pubblica. La vulnerabilità è stata discussa all’interno di comunità di ricerca nei giorni precedenti, ma nelle ultime ore sono in corso valutazioni più concrete sugli eventuali impatti che la vulnerabilità implicherebbe. Le librerie potenzialmente coinvolte sono numerose, riportate per esteso nel blogpost https://github.com/MystenLabs/ed25519-unsafe-libs; in alcuni casi sono già disponibili patch correttive come nel caso di OpenSSL. Il dDSA (Edwards-curve Digital Signature Algorithm) è un algoritmo di crittografia asimmetrica che, nella versione con SHA-512 e Curve25519, è conosciuto come ed25519: queste librerie sono molto utilizzate in progetti opensource come OpenSSH, GnuPG e OpenSSL.

Back To Top