Vulnerabilidades de Jmlepisto

Clatter é uma implementação em Rust pura, compatível com no_std, do framework de protocolos Noise, com suporte a pós-quântico. Versões anteriores à 2.2.0 apresentam uma vulnerabilidade de conformidade com o protocolo. A biblioteca permitia padrões de handshake pós-quânticos que violavam a regra de validade de PSK (Seção 9.3 do Noise Protocol Framework). Isso poderia permitir que chaves derivadas de PSK fossem usadas para cifragem sem a devida randomização por aleatoriedade efêmera escolhida pelo próprio usuário, enfraquecendo garantias de segurança e potencialmente permitindo reutilização catastrófica de chaves. Os padrões padrão afetados incluem noise_pqkk_psk0, noise_pqkn_psk0, noise_pqnk_psk0, noise_pqnn_psk0, e algumas variantes híbridas. Usuários desses padrões podem ter utilizado handshakes que não atendem às propriedades de segurança pretendidas. O problema está totalmente corrigido e lançado no Clatter v2.2.0. A versão corrigida inclui verificações em tempo de execução para detectar padrões de handshake problemáticos. Como solução paliativa, evite o uso das variantes *_psk0 problemáticas de padrões pós-quânticos. Revise cuidadosamente padrões de handshake personalizados.