JavaScript funksiyasidagi eski zaiflik kripto hamyonlariga kirish imkonini beradi.

СТАРАЯ УЯЗВИМОСТЬ В ФУНКЦИИ JAVASCRIPT ПОЗВОЛЯЕТ ПОЛУЧИТЬ ДОСТУП К КРИПТОКОШЕЛЬКАМ

2013-yildan beri ma’lum bo’lgan SecureRandom() kriptografik funksiyasidagi zaiflik kriptovalyuta foydalanuvchilari uchun xavf tug’dirishda davom etmoqda.

Brauzerlarda yoki JavaScript ilovalaridan foydalangan holda yaratilgan eski Bitcoin manzillari hujumchilarga shaxsiy kalitlarni olish va shu bilan hamyonlar va ularning tarkibiga kirish uchun qo’pol hujumlar qilish imkonini beruvchi shifrlash zaifligiga moyil bo’lishi mumkin.

Zaiflik tasodifiy Bitcoin manzillari va parol vazifasini bajaradigan mos keladigan shaxsiy kalitlarni yaratish uchun ishlatiladigan JavaScript SecureRandom() funksiyasiga ta’sir qiladi. Anonim xavfsizlik tadqiqotchisi va uning britaniyalik hamkasbi Devid Gerard ta’kidlaganidek, muammo shundaki, funksiya aslida tasodifiy ma’lumotlarni yaratmaydi.

«Men uzunligiga qaramay, 48 bitdan kam entropiyaga ega bo’lgan shifrlash kalitlarini yarataman […], shunda kirish entropiyasi yuqoriroq bo’lsa ham, chiqish entropiyasi 48 bitdan oshmaydi. Keyin SecureRandom() natijada olingan sonni eskirgan RC4 algoritmi orqali ishga tushiradi, bu taxmin qilish kerak bo’lganidan ancha osonroq ekanligi ma’lum, ya’ni uning entropiyasi pastroq. Bu sizning kalitingizni hisoblashni ancha osonlashtiradi», dedi Gerard.

Yuqoridagilarning barchasidan kelib chiqadiki, SecureRandom() yordamida yaratilgan Bitcoin manzillari qo’pol kuch hujumlariga zaif bo’lib, bu esa hujumchilarga boshqa odamlarning ma’lumotlarini aniqlashga imkon beradi. Tadqiqotchi aniqlaganidek, ba’zi onlayn yoki mijoz ilovalari SecureRandom() ni qo’llaydi, ammo ulardagi zaiflik 2013 va 2015 yillar oralig’ida tuzatilgan. 2013-yildan oldin BitAddress va 2014-yildan oldin Bitcoinjs yordamida yaratilgan manzillar zaifligicha qolmoqda.

London Universitet Kollejining professori Mustafo Al-Bassamning so’zlariga ko’ra, ko’plab eski Bitcoin hamyonlari (ham veb, ham mijozga asoslangan) Bitcoin manzillarini yaratish uchun jsbn.js kriptografik kutubxonasidan foydalanadi. jsbn.js ning 2013-yilgacha bo’lgan versiyasida SecureRandom() funksiyasi mavjud, shuning uchun hali ham ushbu kutubxonadan foydalanadigan ilovalar hali ham osonlikcha buzib tashlanadigan shaxsiy kalitlarni yaratadi. Gerardning so’zlariga ko’ra, bunday kalitni buzish bir hafta vaqt oladi.