the-knell/one-secondWhitepaper firmato e misurazione che mostrano come l'installer Windows di Open WebUI derivi WEBUI_SECRET_KEY da un rand() con seed temporale, consentendo il recupero cieco della chiave master e la falsificazione del token admin.
knell
Timestamp di registrazione (archive.org): https://archive.org/details/knell-one-second
L'installer Windows di Open WebUI genera il proprio segreto principale — WEBUI_SECRET_KEY, la chiave che firma ogni token di sessione — dalla funzione rand() della libreria C di Windows, un generatore lineare congruenziale inizializzato una sola volta con l'ora corrente in secondi. L'intera chiave è il secondo di installazione. Dal token di qualsiasi utente ordinario, questo documento recupera la chiave principale alla cieca in 2,1 secondi su una finestra di ±1 giorno e falsifica un token di amministratore completo, accettato da un'istanza locale della release ufficiale. Ognuno dei 178 tag di release distribuisce questa costruzione. (CVE-2025-15603 è stato contestato e respinto nel giugno 2026; questo documento sostituisce quel giudizio con una misurazione.)
gpg --import knell-public.asc
gpg --verify whitepaper-openwebui-FINAL-2026-11-04.md.asc
Atteso: Good signature from "knell", chiave 133883AB9F6EDE5B9BA6B82E27BEDAF0CE152F25
Fingerprint: 1338 83AB 9F6E DE5B 9BA6 B82E 27BE DAF0 CE15 2F25