Asosiy parol xususiyatidagi zaiflik to’qqiz yil davomida Mozilla foydalanuvchilarini xavf ostiga qo’yib kelmoqda.

Asosiy parol xususiyatidagi zaiflik to’qqiz yil davomida Mozilla foydalanuvchilarini xavf ostiga qo’yib kelmoqda.

Ishlab chiqaruvchi bu muammo haqida «asosiy parol» funksiyasi joriy etilganidan beri bilgan, ammo uni hali ham tuzatmagan.

So’nggi to’qqiz yil davomida Mozilla o’zining «asosiy parol» funksiyasida yetarlicha xavfsiz bo’lmagan shifrlashdan foydalangan.

Firefox va Thunderbird foydalanuvchilarga brauzerda yoki elektron pochta mijozida saqlangan har bir parolni shifrlash uchun kriptografik kalit vazifasini bajaradigan asosiy parolni o’rnatish imkonini beruvchi xususiyatga ega. Ushbu xususiyat xavfsizlik bo’yicha mutaxassislar tomonidan ijobiy baholandi, chunki usiz brauzerlar parollarni mahalliy ravishda shifrlanmagan shaklda saqlaydi, bu esa ularni zararli dasturlar yoki jabrlanuvchilarning kompyuterlariga jismoniy kirish huquqiga ega xakerlar ta’sirida zaif qoldiradi. Biroq, AdBlock Plus yaratuvchisi Vladimir Palantning so’zlariga ko’ra, ushbu xususiyat tomonidan ishlatiladigan shifrlash mexanizmi xavfsiz emas va uni qo’pol kuch yordamida osongina buzish mumkin.

Manba kodini tahlil qilish jarayonida Palant sftkdb_passwordToKey() funksiyasini kashf etdi, bu funksiya asosiy parolning o’zi va ixtiyoriy belgilar (tuz) dan iborat satrga SHA-1 xeshini qo’llash orqali parollarni shifrlash kalitlariga aylantiradi. Tadqiqotchining so’zlariga ko’ra, muammo aynan shu yerda.

SHA-1 funksiyasining sikl hisoblagichi bitta. Bu shuni anglatadiki, u faqat bir marta qo’llaniladi, tavsiya etilgan qiymat esa 10 000 ga teng (masalan, LastPass sikl hisoblagichi 100 000 ga teng). Bunday past qiymat xakerlarning ishini sezilarli darajada osonlashtiradi, ular qo’pol kuch hujumini amalga oshirishi, asosiy parolni shifrlashi va keyin barcha parollarni u bilan shifrlashi mumkin.

Palant bu muammoni aniqlagan birinchi tadqiqotchi emas. Justin Dolske bu haqda to’qqiz yil oldin, asosiy parol funksiyasi joriy etilgandan so’ng darhol xabar bergan edi. Biroq, Mozilla bu zaiflikni Palant yaqinda bu haqda yana bir bor gapirmaguncha tuzatmadi. Kompaniya muammo asosiy parol funksiyasi uchun Lockbox kodli yangi komponent chiqarilishi bilan hal qilinishini e’lon qildi.

Tsikl hisoblagichi – bu ko’pincha tsikl bajarilishining takrorlanishini boshqaradigan o’zgaruvchini (dasturlash tili konstruktsiyasi) tavsiflash uchun ishlatiladigan atama. Bu atama o’z nomini ko’p hollarda ushbu konstruktsiya natijasi ma’lum bir ketma-ketlikdagi butun sonlar to’plamini oladigan o’zgaruvchida saqlanishidan olgan (masalan, 0 dan boshlanib, 10 bilan tugaydigan, 1 ga ko’paytirilgan). Tsikl hisoblagichlari har safar tsikl bajarilganda o’z qiymatlarini o’zgartiradi va har bir alohida iteratsiyaga noyob qiymat beradi.