Google continues to be in a giving

Google continues to be in a giving mood this holiday season.

The company on Monday announced Project Wycheproof, a collection of unit tests designed to help check for weaknesses in cryptographic algorithms. The project comes two weeks after Google debuted a fuzzer to help developers discover programming errors in open source software.

Engineers behind Project Wycheproof admit the first set of tests, which are written in Java, are low level, but claim the test suite can allow developers to check their cryptographic software libraries against known attacks.

Daniel Bleichenbacher and Thai Duong, security engineers with Google, announced the test suite – named after Australia’s Mount Wycheproof, the smallest mountain in the world – in a post Monday on the company’s Security Blog.

“In cryptography, subtle mistakes can have catastrophic consequences, and mistakes in open source cryptographic software libraries repeat too often and remain undiscovered for too long,” the two write, “Good implementation guidelines, however, are hard to come by: understanding how to implement cryptography securely requires digesting decades’ worth of academic literature.”

Like it did with the open source fuzzer, OSS-Fuzz, Google has put all of the code for Wycheproof on GitHub for public perusal.

So far the project has ran over 80 test cases and identified more than 40 bugs, including one particularly troubling sounding issue in which the two say they could recover the private key of DSA and ECDHC, algorithms.

According to a README file published alongside the tests on GitHub, Wycheproof can verify whether algorithms like like RSA, ECDH, and DSA are vulnerable to invalid curve attacks or biased nonces in digital signature schemes, among other tests. Bleichenbacher, a longtime cryptographer, has uncovered a handful of crypto attacks in the past, including a landmark signature forgery attack on RSA in 1998 – the project incorporates tests for those attacks as well.

The duo claims details around some of the bugs they found in algorithms can be viewed on Wytcheproof’s GitHub page but that other details are being held back as they’re being fixed by vendors.

The two are encouraging developers to developers to send them pull requests and use the project but acknowledge it’s no cure all.

“While we are committed to develop as many attacks as possible, Project Wycheproof is by no means complete. Passing the tests does not imply that the library is secure, it just means that it is not vulnerable to the attacks that Project Wycheproof tests for.”

As Bleichenbacher and Duong point out, there’s no shortage of cryptographic protocol weaknesses. Academic papers discussing such vulnerabilities pop up from time to time but the goal of Wycheproof is to spare developers from having to pore over these dense academic texts.

“With Project Wycheproof developers and users now can check their libraries against a large number of known attacks, without having to spend years reading academic papers or become cryptographers themselves,” Bleichenbacher and Duong write.

The project comes about two weeks after OSS-Fuzz, designed to help open source software developers identify bugs in their code, was announced. While that tool is technically still in beta mode, it’s been proficient. The tool had already cranked through four trillion test cases and uncovered 150 bugs in open source projects when it was announced.

النتائج (العربية) 1:

جوجل لا يزال في مزاج إعطاء عطلة هذا الموسم.أعلنت الشركة اليوم الاثنين "المشروع ويتشيبروف"، وصممت مجموعة من اختبارات الوحدة إلى مساعدة التحقق من نقاط الضعف في خوارزميات التشفير. ويأتي المشروع أسبوعين بعد جوجل لأول مرة fuzzer تساعد المطورين على اكتشاف أخطاء البرمجة في برمجيات المصدر المفتوح.قبول المهندسين وراء "المشروع ويتشيبروف" أول مجموعة من الاختبارات التي تتم كتابتها في جافا، هي تدني مستوى، ولكن المطالبة مجموعة الاختبار يمكن أن تسمح للمطورين للتحقق من مكتباتها برامج التشفير ضد الهجمات المعروفة.دانيال بليتشينباتشير والتايلاندية دونغ، مهندسي الأمن مع Google، أعلنت مجموعة الاختبار – سميت بجبل ويتشيبروف في أستراليا، جبل أصغر في العالم – في يوم الاثنين في الشركة "الأمنية بلوق" وظيفة."في الترميز، وأخطاء خفية يمكن أن يكون له عواقب مأساوية، والأخطاء في مكتبات مفتوحة المصدر برمجيات التشفير كرر في كثير من الأحيان، وتظل غير المكتشفة لفترة طويلة جداً،" الكتابة، وهما "المبادئ التوجيهية للتنفيذ الجيد، ومع ذلك، من الصعب أن تأتي: فهم كيفية تنفيذ التشفير بشكل أمن ويتطلب هضم بقيمة عقود من المؤلفات الأكاديمية."مثلما فعلت مع فوزر مفتوحة المصدر، برمجيات المصدر المفتوح--زغب، جوجل وضعت كافة التعليمات البرمجية ويتشيبروف على GitHub للاطلاع العام.حتى الآن المشروع قد دهست 80 من حالات الاختبار وتحديد الأخطاء أكثر من 40، بما في ذلك مسألة مثيرة للقلق لا سيما السبر التي يقول الاثنين يمكن استرداد المفتاح الخاص من بدل الإقامة اليومي، واكدهك، خوارزميات.وفقا لملف المستند التمهيدي نشر جنبا إلى جنب مع الاختبارات على GitHub، يمكن التحقق من ويتشيبروف سواء الخوارزميات مثل مثل RSA و DSA ECDH تكون عرضه لهجمات منحنى غير صالحة أو نونسيس متحيزة في مخططات التوقيع الرقمي، من بين الاختبارات الأخرى. بليتشينباتشير، وكريبتوغرابهيرس منذ فترة طويلة، كشفت عن عدد قليل من الهجمات التشفير في الماضي، بما في ذلك هجوم تزوير توقيع تاريخي على RSA في عام 1998--يتضمن المشروع الاختبارات لتلك الهجمات، وكذلك.تفاصيل المطالبات الثنائي حول بعض الأخطاء ووجدوا في خوارزميات يمكن عرضها على الصفحة GitHub ويتشيبروف لالا أن تفاصيل أخرى تجري مرة أخرى كما أنها كنت يجري إصلاحها بواسطة البائعين.وهما تشجيع المطورين للمطورين لنرسل لهم سحب الطلبات واستخدام المشروع ولكن نعترف بأنه لا يوجد علاج جميع."وفي حين أننا ملتزمون بتطوير العديد من الهجمات قدر الإمكان،" ويتشيبروف المشروع "ليست بأي حال كاملة. اجتياز الاختبارات لا يعني أن المكتبة آمنة، بل يعني فقط أنه ليس عرضه للهجمات التي "ويتشيبروف المشروع" الاختبارات ل. "كما بليتشينباتشير ودوونغ الإشارة، لا يوجد نقص من الضعف البروتوكول التشفير. الأكاديمية ورقات مناقشة مثل هذا الضعف يطفو على السطح من وقت إلى آخر ولكن هدف ويتشيبروف لتجنيب المطورين من الحاجة إلى المسام على هذه النصوص الأكاديمية كثيفة."مع" ويتشيبروف المشروع "المطورين والمستخدمين الآن التحقق من مكتباتها ضد عدد كبير من الهجمات المعروفة، دون الحاجة إلى قضاء سنوات قراءة أوراق أكاديمية أو تصبح الشفرات أنفسهم،" الكتابة بليتشينباتشير ودونغ.ويأتي المشروع حوالي أسبوعين بعد برمجيات المصدر المفتوح--زغب، المصممة لمساعدة مطوري البرمجيات المصدر بفتح تحديد الأخطاء في التعليمات البرمجية الخاصة بهم، وأعلن. بينما تلك الأداة من الناحية التقنية لا تزال في وضع بيتا، فقد يتقن. قد مكرنك الأداة بالفعل من خلال حالات الاختبار 4 تريليون وكشف الأخطاء 150 في فتح المشاريع المصدر عندما أعلن.

النتائج (العربية) 2:

تواصل جوجل أن تكون في مزاج إعطاء عطلة هذا الموسم.

أعلنت الشركة يوم الاثنين مشروع Wycheproof، ومجموعة من وحدة الاختبارات المصممة للمساعدة في التحقق من وجود نقاط ضعف في خوارزميات التشفير. ويأتي هذا المشروع بعد أسبوعين لاول مرة جوجل fuzzer لمساعدة مطوري اكتشاف الاخطاء البرمجية في البرمجيات مفتوحة المصدر.

المهندسين وراء مشروع Wycheproof يعترفون أول مجموعة من الاختبارات، التي هي مكتوبة بلغة جافا، هي مستوى منخفض، ولكن المطالبة جناح اختبار يمكن أن تسمح للمطورين للتحقق من المكتبات البرمجيات التشفير ضد الهجمات المعروفة.

دانيال Bleichenbacher والتايلاندية دونغ، المهندسين الأمن مع جوجل، أعلن جناح اختبار - سميت استراليا جبل Wycheproof، أصغر جبل في العالم - في آخر يوم الاثنين الشركة مدونة الأمن.

"في الترميز،

يمكن أن الأخطاء الطفيفة تكون له عواقب كارثية، والأخطاء في المصادر المفتوحة المكتبات برامج التشفير تتكرر في كثير من الأحيان وتبقى غير مكتشفة لفترة طويلة جدا "، والكتابة اثنين،" المبادئ التوجيهية للتنفيذ جيدة، ولكن من الصعب أن يأتي بها: فهم كيفية تطبيق التشفير يتطلب آمن هضم بقيمة عقود من الزمن المؤلفات الأكاديمية ". مثل ما فعلت مع fuzzer مفتوحة المصدر، OSS-الزغب، وقد وضعت جوجل كافة التعليمات البرمجية لWycheproof على جيثب للاطلاع العام.

وحتى الآن لم ركض المشروع أكثر من 80 حالات الاختبار والتعرف على أكثر من 40 البق، بما في ذلك واحد لا سيما قلق قضية السبر فيه اثنين يقولون انهم يمكن استرداد المفتاح الخاص DSA وECDHC، الخوارزميات.

ووفقا لملف اقرأني نشرت إلى جانب اختبارات على جيثب، يمكن Wycheproof التحقق مما إذا كانت خوارزميات مثل مثل RSA، ECDH، وDSA عرضة للهجمات غير صالحة منحنى أو nonces متحيزة في مشاريع التوقيعات الرقمية، من بين غيرها من التجارب. Bleichenbacher، وكريبتوغرابهيرس منذ فترة طويلة، وقد كشف عدد قليل من الهجمات التشفير في الماضي، بما في ذلك هجوم تزوير توقيع المعلم على وكالة الفضاء الروسية في عام 1998 - ويتضمن المشروع اختبارات لتلك الهجمات أيضا.

يدعي الثنائي تفاصيل حول بعض الأخطاء التي وجدت في الخوارزميات ويمكن الاطلاع على الصفحة جيثب Wytcheproof ولكن يحتجز أن تفاصيل أخرى يعود إلى أنهم يتعرضون الثابتة من قبل البائعين.

وهما تشجيع المطورين على المطورين أن ترسل لهم سحب الطلبات واستخدام المشروع ولكن نعترف به ليس علاج جميع.

"وبينما نحن ملتزمون بتطوير العديد من الهجمات ممكن، مشروع Wycheproof ليست بأي حال كاملة.

اجتياز الاختبارات لا تعني أن المكتبة هي آمنة، بل يعني فقط أنها ليست عرضة للهجمات التي الاختبارات مشروع Wycheproof ل. " كما Bleichenbacher ودونغ يشيرون، وليس هناك نقص في الضعف بروتوكول التشفير. أوراق الأكاديمية مناقشة مثل هذه الثغرات يطفو على السطح من وقت لآخر ولكن الهدف من Wycheproof هو لتجنيب المطورين من الحاجة إلى العكوف على هذه النصوص الأكاديمية الكثيفة.

"مع مشروع المطورين Wycheproof والمستخدمين الآن يمكن التحقق من مكتباتها ضد عدد كبير من الهجمات المعروفة، دون الحاجة إلى قضاء سنوات قراءة الصحف الأكاديمية أو تصبح cryptographers أنفسهم،" Bleichenbacher ودونغ الكتابة.

ويأتي هذا المشروع بعد حوالي أسبوعين OSS-الزغب، والمصممة لمساعدة مطوري البرمجيات مفتوحة المصدر تحديد الخلل في مدوناتها، أعلن. في حين أن الأداة هي من الناحية الفنية لا يزال في وضع بيتا، انها كانت يتقن. وكانت أداة مكرنك بالفعل من خلال أربعة تريليونات حالات الاختبار وكشف 150 الخلل في المشاريع المفتوحة المصدر عندما أعلن.

النتائج (العربية) 3:

جوجل لا تزال في اعطاء المزاج عطلة هذا الموسم.وكانت الشركة قد اعلنت يوم الاثنين wycheproof المشروع، مجموعة من الاختبارات وحدة مصممة للمساعدة في الكشف عن نقاط الضعف في خوارزميات التشفير.ويأتي المشروع بعد أسبوعين من جوجل لاول مرة Fuzzer مساعدة المطورين اكتشاف الاخطاء البرمجية في برمجيات المصدر المفتوح.المهندسين خلف المشروع wycheproof قبول أول مجموعة من الاختبارات، التي هي مكتوبة بلغة جافا، منخفضة المستوى، ولكن المطالبة اختبار جناح يمكن أن تسمح المطورين الى مراجعة مكتبة برامج التشفير ضد الهجمات المعروفة.دانيال bleichenbacher تای دوونگ والأمن المهندسين مع جوجل، أعلنت مجموعة اختبار – التي تحمل اسم جبل wycheproof أستراليا، أصغر جبل في العالم -- في مرحلة ما بعد الاثنين على مدونة الشركة الأمنية.في الترميز، أخطاء خفية يمكن أن تكون له عواقب كارثية، و الأخطاء في المكتبات مفتوحة المصدر برمجيات التشفير كرر في كثير من الأحيان، تبقى مكتشفة لفترة طويلة جدا، "كتابة" حسن تنفيذ المبادئ التوجيهية، ومع ذلك، تأتي من الصعب فهم كيفية تنفيذ التشفير آمن يتطلب هضم عقود قيمة الكتب الأكاديمية ".كما حدث مع المصدر المفتوح برمجيات المصدر المفتوح Fuzzer، زغب، غوغل قد وضعت كل من قانون wycheproof github قراءة العامة.هذا المشروع حتى الآن قد دهست 80 حالات الاختبار و تحديد أكثر من 40 البق، بما في ذلك واحد مقلق على وجه الخصوص سبر المسألة فيها وهما يقولون يمكن استرداد المفتاح الخاص بدل الإقامة اليومي و ecdhc الخوارزميات.وجاء في الملف التمهيدي نشرت جنبا إلى جنب مع التجارب على github wycheproof يمكن التحقق مما إذا كانت خوارزميات مثل آر إس إيه، ecdh، وبدل الإقامة اليومي عرضة باطل منحنى الهجمات أو متحيزة nonces مخططات التوقيعات الرقمية، من بين غيرها من التجارب.bleichenbacher مُشَفِّر منذ فترة طويلة، وقد كشفت حفنة من سرداب في الهجمات التي وقعت في الماضي، بما في ذلك تزوير التوقيع التاريخي الهجوم على وكالة الفضاء الروسية في عام 1998 – ويشتمل المشروع على اختبارات هذه الهجمات أيضا.الثنائي المطالبات من التفاصيل حول بعض الحشرات التي وجدت في الخوارزميات ويمكن الاطلاع على صفحة wytcheproof github إلا أن تفاصيل أخرى تجري إلى الوراء لأنها تكون ثابتة من قبل البائعين.هما تشجيع المطورين على المطورين أن ترسل لهم طلبات سحب واستخدام المشروع ولكن نعترف انه ليس عﻻجا شافيا لجميع المشاكل."ونحن ملتزمون وضع أكبر عدد ممكن من الهجمات، wycheproof المشروع هو على أية حال كاملة.اجتياز الاختبارات لا يعني أن المكتبة هي آمنة، بل يعني فقط أنها ليست عرضة للهجمات التي wycheproof المشروع اختبارات. "كما bleichenbacher دوونغ أوضح، وليس هناك نقص في نقاط الضعف بروتوكول تشفير.الأكاديمية ورقات مناقشة هذا الضعف يطفو على السطح من وقت لآخر ولكن الهدف من wycheproof هو قطع المطورين من وجود مسام على هذه الأكاديمية الكثيفة النصوص."مع المشروع wycheproof المطورين و المستخدمين الآن يمكن التحقق من المكتبات ضد عدد كبير من الهجمات المعروفة، دون أن تنفق سنوات في قراءة ورقات أكاديمية أو تصبح cryptographers أنفسهم"، bleichenbacher دوونغ الكتابة.ويأتي المشروع بعد حوالي اسبوعين من برمجيات المصدر المفتوح زغب، مصممة لمساعدة مطوري البرمجيات مفتوحة المصدر تحديد الخلل في مدوناتها، يعلن.في حين أن هذه الأداة هي من الناحية الفنية لا تزال في وضع بيتا كان متقنا.وقد سبق أن مكرنك أداة من خلال اربعة تريليونات حالات الاختبار و كشف 150 البق في مشاريع مفتوحة المصدر عندما أعلن.