the-knell/one-secondПодписанный whitepaper и измерения, показывающие, что установщик Open WebUI для Windows получает WEBUI_SECRET_KEY из rand() с временным seed, что позволяет вслепую восстановить мастер-ключ и подделать admin-токен.
knell
Отметка времени записи (archive.org): https://archive.org/details/knell-one-second
Установщик Open WebUI для Windows создаёт свой мастер-секрет — WEBUI_SECRET_KEY, ключ, которым подписывается каждый токен сессии, — из функции rand() библиотеки C для Windows, линейного конгруэнтного генератора, инициализируемого один раз текущим временем в секундах. Весь ключ — это секунда установки. Из собственного токена любого обычного пользователя данная работа восстанавливает мастер-ключ вслепую за 2,1 секунды в окне ±1 день и подделывает полноценный токен администратора, который принимается локальным экземпляром официального релиза. Каждый из 178 тегов релиза содержит эту конструкцию. (CVE-2025-15603 был оспорен и отклонён в июне 2026 года; данная работа заменяет это суждение измерением.)
gpg --import knell-public.asc
gpg --verify whitepaper-openwebui-FINAL-2026-11-04.md.asc
Ожидается: Good signature from "knell", ключ 133883AB9F6EDE5B9BA6B82E27BEDAF0CE152F25
Отпечаток: 1338 83AB 9F6E DE5B 9BA6 B82E 27BE DAF0 CE15 2F25