the-knell/one-secondSigniertes Whitepaper und Messung, die zeigt, dass der Windows-Installer von Open WebUI den WEBUI_SECRET_KEY aus einem zeitlich geseedeten rand() ableitet, was die blinde Wiederherstellung des Master-Keys und die Fälschung von Admin-Tokens ermöglicht.
knell
Zeitstempel der Aufzeichnung (archive.org): https://archive.org/details/knell-one-second
Der Windows-Installer von Open WebUI erzeugt sein Master-Geheimnis — WEBUI_SECRET_KEY, den Schlüssel, der jedes Sitzungstoken signiert — aus rand() der Windows-C-Bibliothek, einem linearen Kongruenzgenerator, der einmal mit der aktuellen Zeit in Sekunden initialisiert wird. Der gesamte Schlüssel ist die Installationssekunde. Aus dem eigenen Token eines beliebigen gewöhnlichen Benutzers gewinnt dieses Paper den Master-Key blind in 2,1 Sekunden über ein Fenster von ±1 Tag und fälscht ein vollständiges Administrator-Token, das von einer lokalen Instanz der offiziellen Version akzeptiert wird. Jeder der 178 Release-Tags liefert diese Konstruktion aus. (CVE-2025-15603 wurde im Juni 2026 bestritten und abgelehnt; dieses Paper ersetzt jenes Urteil durch eine Messung.)
gpg --import knell-public.asc
gpg --verify whitepaper-openwebui-FINAL-2026-11-04.md.asc
Erwartet: Good signature from "knell", Schlüssel 133883AB9F6EDE5B9BA6B82E27BEDAF0CE152F25
Fingerprint: 1338 83AB 9F6E DE5B 9BA6 B82E 27BE DAF0 CE15 2F25