Открита е сериозна уязвимост в PuTTY, засягаща частни ключове на криптографски алгоритъм

Изследователи от университета в Бохум, Германия, са идентифицирали критична уязвимост в популярната програма за отдалечен достъп PuTTY, която засяга генерацията на цифрови подписи при използване на частни ключове ECDSA, NIST P521. Уязвимостта, означена като CVE-2024-31497, може да доведе до компрометиране на частните ключове, а следователно и до възможност за фалшифициране на идентичността на потребителя.

Проблемът се крие в начина, по който PuTTY генерира така наречената „nonce“ стойност (криптографски термин за стойност, използвана само веднъж), необходима за подписването на съобщения. Вместо да разчита на истински случайни числа, PuTTY е използвала детерминистичен метод, основан на хеширането на съобщението и частния ключ. Този метод обаче е предвидим за кривата P521, което позволява на атакуващите, при наличие на достатъчно цифрови подписи, да възстановят частния ключ.

Уязвимостта е била присъща за версии на PuTTY от 0.68 до 0.80, като отстранена е в последваща версия 0.81. От компанията, разработваща софтуера, са препоръчват на потребителите незабавно да отстранят уязвимите ключове и да генерират нови, за да предотвратят злоупотреба.

Този инцидент подчертава важността от използването на съвременни и добре проверени криптографски методи и нуждата от постоянно актуализиране на софтуера за осигуряване на информационната сигурност.