PDF araçlarındaki rastgele sayı hataları AES-256 şifrelemesini kırdı
Öne çıkanlar
- MuPDF yazılımı AES-256 anahtarını yalnızca 9 bitlik rastgelelik havuzuna indirgedi.
- Foxit üzerinde şifrelenen belgelerin anahtarları zaman damgası taranarak 5 saniyede bulundu.
- MuPDF açığı kapattı fakat daha önce şifrelenen belgeler savunmasız kaldı.
Güvenlik araştırmacıları, MuPDF ve Foxit dahil birçok popüler PDF yazılımının AES-256 dosya anahtarlarını üretirken yetersiz rastgele sayı kaynakları kullandığını tespit etti. İncelenen uygulamaların güçlü şifreleme algoritması vaat etmesine rağmen anahtar üretim havuzunu tahmin edilebilir değerlere sıkıştırdığı ortaya çıktı. Bu zafiyet, şifrelenmiş belgelerin parola korumasını dakikalar hatta milisaniyeler içinde kırma imkanı tanıdı.
Araştırmaya göre 1.28.5 öncesi MuPDF sürümleri, anahtar üretiminde zayıf bir rastgele sayı algoritması kullandı ve sonuçta anahtarı yalnızca 9 bitlik bir rastgelelik durumuna bağladı. Yalnızca 512 olası anahtarın denenmesiyle korumalı bir MuPDF belgesinin şifresi 11 milisaniyede çözüldü. Benzer biçimde Foxit PDF Reader'ın da dosya anahtarını zaman damgası ve sıfırla doldurulmuş baytların karmasından türettiği ve modern bir işlemcide tüm Unix zaman aralığının 5 saniyede taranabildiği bildirildi.
OpenPDF ve iText gibi kütüphanelerin de zayıf rastgelelik kaynaklarından etkilendiğini aktaran araştırmacılar, ilgili durumları yazılım geliştiricilerine iletti. MuPDF tarafında sorun düzeltildi ancak daha önce üretilmiş ve dağıtılmış korumalı belgelerin geriye dönük olarak güvenli kılınamayacağı kaydedildi. Araştırmacılar, MuPDF ve Foxit belgeleri için geliştirdikleri şifre çözücü araçları da yayımladı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.