Атака на протокол OpenPGP

Продемонстрирована атака на протокол OpenPGP. Злоумышленники смогли скомпрометировать сертификаты двух известных разработчиков, Роберта Хансена и Даниэла Гилмора (Robert J. Hansen, Daniel Kahn Gillmor, обычно сокращаемые до "rjh" и "dkg").

Протокол PGP предусматривает взаимную подпись ключей лично знакомыми участниками, порождая тем самым сетевую структуру доверия в отличие от иерархической структуры PKI. Такие сертификаты можно скачивать с доверенных серверов, выбранных конечным пользователем. Информация с них никогда не удаляется.

Злоумышленники добавили большое количество дополнительных подписей к сертификатам Гиллмора и Хансена. Это приводит к тому, что время обработки такого сертификата резко возрастает и существенно увеличивается потребление ресурсов. При этом сейчас невозможно заранее сказать, применена ли атака против конкретного сертификата, пока она не сработала.

В качестве рекомендаций пользователям пока предлагается отказаться от использования Keyserver, а также проверить экспериментальную реализацию Keyserver, позволяющую удаление.

Некоторые дополнительные подробности доступны в блоге Гиллмора.


Возврат к списку