⬇ Scarica il santino: ·
San DUHK, che indovinò la chiave usa e getta
Patrono dei generatori pseudocasuali con la chiave scritta nel firmware, delle VPN FortiGate e dei segreti che non erano segreti.
Vita
Il 23 ottobre 2017 Shaanan Cohney, Nadia Heninger e Matthew Green mostrarono DUHK: alcuni dispositivi, tra cui i FortiGate di Fortinet, usavano il vecchio generatore ANSI X9.31 con una chiave fissa, cablata nel firmware e uguale per tutti. Chi la conosceva poteva prevedere i numeri «casuali» e decifrare il traffico VPN e TLS protetto da quei dispositivi. Il nome, «Don't Use Hard-coded Keys», era anche la morale.
Preghiera
O San DUHK, che indovini i dadi perché li hai già visti, fa' che le nostre chiavi non nascano dentro il firmware. Amen.
Come si festeggia
Si festeggia aggiornando il firmware FortiOS e abbandonando i generatori casuali con chiavi cablate, ovunque si annidino.
Chiave scritta nel codice è chiave di tutti.