ibm/pgp-client-checker-cve-2021-33560एक उपकरण जो जाँचता है कि कोई PGP क्लाइंट CVE-2021-33560 से प्रभावित है या नहीं
यह एक उपकरण है जो यह जाँचने के लिए है कि आपका OpenPGP क्लाइंट CVE-2021-33560 से प्रभावित है या नहीं।
यह भेद्यता उन संदेशों को प्लेनटेक्स्ट पुनर्प्राप्ति (plaintext recovery) के लिए उजागर करती है जिन्हें आप कुछ ElGamal उपकुंजियों (subkeys) के लिए एन्क्रिप्ट करते हैं। भेद्यता के तकनीकी विवरण इस ब्लॉग पोस्ट और इस शोध लेख में वर्णित हैं।
यह उपकरण जाँचता है कि आपका OpenPGP क्लाइंट प्रेषक के रूप में कार्य करते समय प्रभावित है या नहीं। यह यह नहीं बताता कि आपकी ElGamal उपकुंजियाँ प्राप्तकर्ता के रूप में कार्य करते समय प्रभावित हैं या नहीं; दुर्भाग्यवश यह एक संगणकीय रूप से भारी जाँच है जो केवल किसी विशेषज्ञ द्वारा ही की जा सकती है। यदि आप ElGamal उपकुंजियों का उपयोग करते हैं और उनकी सुरक्षा को लेकर चिंतित हैं, तो हमारा FAQ पढ़ें।
आपको Python संस्करण 3.8 या उच्चतर की आवश्यकता है।
यह उपकरण एक विशेष रूप से निर्मित ElGamal उपकुंजी के लिए एक संदेश एन्क्रिप्ट करके, फिर उत्पन्न सिफरटेक्स्ट (ciphertext) का विश्लेषण करके भेद्यता की खोज करता है।
आप सार्वजनिक कुंजी को आयात करने और उस पर एन्क्रिप्ट करने का तरीका आपके OpenPGP क्लाइंट पर निर्भर करता है। नीचे दिए गए उदाहरण में, हम GPG का उपयोग करते हैं (जिसका libgcrypt संस्करण 1.8.8 और 1.9.3 तक प्रभावित है), लेकिन आपको इन चरणों को अपने स्वयं के क्लाइंट के अनुसार अनुकूलित करना होगा।
इस रिपॉजिटरी को क्लोन करें और उसमें प्रवेश करें
git clone https://github.com/IBM/PGP-client-checker-CVE-2021-33560.git
cd PGP-client-checker-CVE-2021-33560
सार्वजनिक कुंजी आयात करें (यह चरण आपके क्लाइंट पर निर्भर करता है)
gpg --import key.asc
आयातित कुंजी पर एक संदेश (जैसे, "Hi") एन्क्रिप्ट करें (यह चरण आपके क्लाइंट पर निर्भर करता है)
echo "Hi" | gpg -e --always-trust --armor -r [email protected] --output ciphertext.asc
प्राप्त सिफरटेक्स्ट पर उपकरण चलाएँ
./sec-check.py ciphertext.asc
और आउटपुट का निरीक्षण करें। यदि आपका क्लाइंट प्रभावित है, तो आपको इसके समान एक संदेश मिल सकता है:
Inspecting ./ciphertext.asc
Ephemeral secret bit length: 342
**Your client is affected by CVE-2021-33560!**
Your client seems to be based on an old version of libgcrypt. If a
security patch for your client is available, install it!
भेद्यता के बारे में अधिक जानने के लिए, हमारी तकनीकी ब्लॉग पोस्ट पढ़ें।