San CurveBall, la curva che ingannò Windows

Patrono dei certificati firmati da chiunque, delle curve ellittiche fatte in casa e della NSA, che per una volta segnalò invece di tenere.

Vita

Il 14 gennaio 2020, nel Patch Tuesday, Microsoft corresse un errore di CryptoAPI segnalato nientemeno che dalla NSA. Windows controllava la chiave pubblica di un certificato ECC ma non i parametri della curva: un attaccante poteva così fabbricare certificati che sembravano emessi da un'autorità fidata, e firmare malware o siti HTTPS a nome di altri.

Preghiera

O San CurveBall, che lanciasti una curva dove si aspettava una retta, fa' che i nostri sistemi verifichino tutti i parametri e non solo quelli comodi. Amen.

Come si festeggia

Si festeggia installando il Patch Tuesday di gennaio e controllando che le firme del codice siano davvero di chi dicono.

Fidarsi è bene, verificare la curva è meglio.