the-knell/one-secondLivre blanc signé et mesure montrant que l'installateur Windows d'Open WebUI dérive WEBUI_SECRET_KEY d'un rand() initialisé par le temps, permettant une récupération aveugle de la clé maîtresse et la falsification de jetons d'administrateur.
knell
Horodatage de référence (archive.org) : https://archive.org/details/knell-one-second
L'installateur Windows d'Open WebUI génère son secret maître — WEBUI_SECRET_KEY, la clé qui signe chaque jeton de session — à partir de la fonction rand() de la bibliothèque C de Windows, un générateur congruentiel linéaire initialisé une seule fois avec l'heure courante en secondes. La clé entière correspond à la seconde d'installation. À partir du propre jeton de n'importe quel utilisateur ordinaire, cet article récupère la clé maîtresse à l'aveugle en 2,1 secondes sur une fenêtre de ±1 jour et forge un jeton administrateur complet, accepté par une instance locale de la version officielle. Chacune des 178 étiquettes de version publiées embarque cette construction. (CVE-2025-15603 a été contestée puis rejetée en juin 2026 ; cet article remplace ce jugement par une mesure.)
gpg --import knell-public.asc
gpg --verify whitepaper-openwebui-FINAL-2026-11-04.md.asc
Attendu : Good signature from "knell", clé 133883AB9F6EDE5B9BA6B82E27BEDAF0CE152F25
Empreinte : 1338 83AB 9F6E DE5B 9BA6 B82E 27BE DAF0 CE15 2F25