RUSTSEC-2023-0071: Marvin Attack: potential key recovery through timing sidechannels
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 20/100
- Tipo di issue
- Bug
- Chiarezza
- Da chiarire
- Stato di attività
- Ferma
- Stack tecnologico
- rust
- Ambito
- cryptography, security
Direzione di ricerca
La issue identifica il crate rsa alla versione 0.9.6 e collega l’avviso RUSTSEC-2023-0071, ma non indica alcun file del repository né alcun test. Inizia individuando i manifest delle dipendenze e verificando se il lavoro di migrazione indicato sia già stato effettuato altrove. Il lavoro è completato quando è disponibile un’implementazione completamente constant-time oppure una remediation concordata per questa dipendenza.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Marvin Attack: potential key recovery through timing sidechannels
| Details | |
|---|---|
| Package | rsa |
| Version | 0.9.6 |
| URL | https://github.com/RustCrypto/RSA/issues/19#issuecomment-1822995643 |
| Date | 2023-11-22 |
Impact
Due to a non-constant-time implementation, information about the private key is leaked through timing information which is observable over the network. An attacker may be able to use that information to recover the key.
Patches
No patch is yet available, however work is underway to migrate to a fully constant-time implementation.
Workarounds
The only currently available workaround is to avoid using the rsa crate in settings where attackers are able to observe timing information, e.g. local use on a non-compromised computer is fine.
References
This vulnerability was discovered as part of the "Marvin Attack", which revealed several implementations of RSA including OpenSSL had not properly mitigated timing sidechannel attacks.
See advisory page for additional details.
- Lingua principale
- Rust
- Stelle
- 167
- Fork
- 19
- Merge medio
- 1g 6h
- PR unite (30g)
- 9
Guida per i contributori
Apri la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di stackabletech/operator-rs
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
stackabletech/operator-rs#1273 · 1 commento ·
-
Improve label mechanisms Aperta
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
stackabletech/operator-rs#1077 ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 45/100
stackabletech/operator-rs#1063 ·
-
stackable-versioned: Require inner module definitions to have the same visibility as the parent Aperta
Difficoltà 3/5 1-2 giorni Idoneità per principianti 45/100
stackabletech/operator-rs#1028 ·
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
stackabletech/operator-rs#965 ·
Tutte le issue di stackabletech/operator-rs
Issue simili
-
Browser (wasm) relay client cannot connect to relays whose URL has a trailing-dot FQDN hostname Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
n0-computer/iroh#4550 ·
-
impl detach for native Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
paritytech/zombienet-sdk#591 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
farion1231/cc-switch#7638 · 1 commento ·
-
onnx-ir re-exports ModelProto and GraphProto but not NodeProto, AttributeProto and AttributeType Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100