Google 近日宣布開源 Paranoid?，該項目主要用于識別各種加密產品中的漏洞。該庫支持測試數字簽名、通用偽隨機數和公鑰等多種類型的加密產品，以識別由編程錯誤或使用弱專有隨機數生成器引起的問題。Paranoid 項目可以檢測任意加密產品、以及那些由未知實現的系統（Google 將其稱之為 “黑匣子”，其特性是源代碼無法被檢查）生成的產品。

項目地址：https://github.com/google/paranoid_crypto

在隨機數生成器中兩個著名的、特定于實現（implementation-specific）的漏洞是 DUHK (Don’t Use Hardcoded Keys) 和ROCA (Return of Coppersmith’s Attack)，這兩個 SSL/TLS 漏洞在過去 5 年里已經廣為人知。

例如，一個跟蹤為 CVE-2022-26320 的錯誤，這是一個影響多個 Canon 和 Fujifilm 打印機系列的加密相關問題，它們生成帶有易受攻擊的 RSA 密鑰的自簽名 TLS 證書。該問題與 Rambus 使用 Safezone 庫的基本加密模塊有關。

Google 已經使用 Paranoid 從 Certificate Transparency 中檢查了包含超過 70 億個已發布網站證書的加密產品，并發現了數千個受到嚴重和高嚴重性 RSA 公鑰漏洞影響的條目。這些證書中的大多數已經過期或被吊銷，其余的被報告為吊銷。

Paranoid 項目包含對 ECDSA 簽名以及 RSA 和 EC 公鑰的檢查，并由 Google 安全團隊積極維護。這個開源庫可以被其他人使用，也可以增加透明度，并以對現有資源進行新檢查和改進的形式接收來自外部資源的貢獻。