Cloudflare יצרה כלי פנימי CryptoLabe לאיתור קריפטוגרפיה בקוד

Cloudflare פרסמה פרטים על הכלי הפנימי CryptoLabe. הוא משתמש במודלים גדולים של שפה כדי לאתר כל שימוש בקריפטוגרפיה בקוד החברה, לפני השגת מוכנות פוסט-קוונטית עד 2029. השם מגיע מאצטרולב ימי.

היקף הבעיה

רוב המוצרים של Cloudflare נמצאים במאגר קוד אחד, אך הקוד מפוזר על פני מאגרים רבים, והקריפטוגרפיה אינה מראה את עצמה: היא מסתתרת בספריות מיובאות ובברירות מחדל של פרוטוקולים, ומאזין TLS 1.3 בוחר ב-X25519 הקלאסי במקום ב-X25519MLKEM768 ההיברידי. חיפוש לפי תבניות אינו מספיק: איתור RSA או X25519 סופר יותר מדי, מפספס פחות, ואינו יכול לומר כיצד נעשה שימוש במפתח.

כיצד CryptoLabe עובד

שלב „הגילוי” סוקר את המאגר ומחפש בקוד ובתצורה הסכמי מפתח, חתימות, הצפנת מפתח ציבורי, אסימונים ואינטגרציות של מודול אבטחה טכני, ומייצר „תצפיות גולמיות”. שלב הניתוח בודק ומסווג כל ממצא: הצפנה קלאסית, חתימה, אסימון, הסכם מפתח היברידי מוכן ל-PQ או מוכן ל-PQ. כאשר הראיות מועטות, המודל עונה „לא ידוע” ואינו מניח הנחות. הכלי פועל על שני Worker ובסיס נתונים D1, והסריקה מנוהלת על ידי Cloudflare Workflows.

תלויות ומקרים מורכבים

CryptoLabe מקבץ ממצאים לפי „תלות”, כלומר לפי מה שצוות מוצר אחד אינו יכול לפתור לבדו. מוצגים שישה ממצאים שתלויים ב-SAML פוסט-קוונטי, פרוטוקול התחברות אחודה. פרומפט נפרד מחפש „מקרים מורכבים”: פרוטוקולים מותאמים אישית, חתימות בשדות מוגבלי גודל, וצדדים שעדיין אין להם תמיכה פוסט-קוונטית. דוגמה אחת היא אישור שמועבר ב-HTTP header: אישורים פוסט-קוונטיים גדולים יותר, וקוד שמבוסס על גודל קבוע עלול להישבר.

מה צוותים אחרים צריכים לעשות

לדברי Cloudflare, רוב הארגונים אינם צריכים למפות כל פעולה קריפטוגרפית, והיא מכנה זאת בזבוז משאבים. החברה מציעה להתחיל במאגר של מערכת חשובה אחת, לאמת את התוצאות מול הצוות האחראי, ואז לסדר מה אפשר לעשות כעת ומה נשאר חסום. הפרומפטים הנבחרים פורסמו ב-GitHub. Cloudflare הטמיעה את X25519MLKEM768 ב-2022, לפני השלמת התקן.