Bezpieczeństwo w zagrożeniu: Błąd w bibliotece Bouncy Castle!
Bezpieczeństwo w zagrożeniu: Błąd w bibliotece Bouncy Castle!
Nowe doniesienia wskazują na poważny błąd w popularnej bibliotece kryptograficznej Bouncy Castle, który może mieć katastrofalne skutki dla bezpieczeństwa aplikacji wykorzystujących bcrypt. Eksperci zauważyli, że można omijać logowanie, co stawia pod znakiem zapytania integralność systemów zabezpieczeń.
Problem dotyczy funkcji indexOf(), która zwraca pozycję pierwszego wystąpienia określonego znaku w ciągu. Programiści często podają liczby od 0 do 59, co w przypadku haszy bcrypt prowadzi do niebezpiecznego porównania: bcryptString.indexOf(0) == newBcryptString.indexOf(0). W obu przypadkach wartości będą równe -1, co oznacza, że porównania te zawsze zwrócą true.
Warto zaznaczyć, że hasze bcrypt nie zawierają znaków o kodzie ASCII 0, 1 czy 2. To sprawia, że atakujący mogą łatwo obejść mechanizmy logowania, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Na podstawie: Źródła
