ParsEval: 使用真实世界野外X.509证书评估解析行为
密码学与安全
2024-05-30 v1
摘要
X.509证书通过实现认证和数据完整性，在建立互联网安全通信中起着关键作用。X.509标准具有丰富的功能集，由多个全面的ISO/IEC文档定义。由于其互联网范围内的使用，存在多种编程语言的不同实现，导致了一个庞大且碎片化的生态系统。本研究解决了研究问题：“X.509证书解析器之间是否存在用户可见且与安全相关的差异？”我们调查了提供X.509证书解析API的相关库，并开发了一个适当的测试套件。从34个库中选择了6个进行进一步分析。使用来自真实世界数据集的186,576,846个不同证书调用所选库的X.509解析模块，并研究了观察到的错误代码。本研究揭示了wolfSSL的X.509解析模块中的一个异常，并且生态系统中存在根本性差异。虽然相关研究现在大多关注于模糊测试技术，产生人工证书，但本研究证实，可用的X.509解析模块差异很大，即使对于真实世界的野外证书也会产生不同的结果。
引用
@article{arxiv.2405.18993,
title = {ParsEval: Evaluation of Parsing Behavior using Real-world Out-in-the-wild X.509 Certificates},
author = {Stefan Tatschner and Sebastian N. Peters and Michael P. Heinl and Tobias Specht and Thomas Newe},
journal= {arXiv preprint arXiv:2405.18993},
year = {2024}
}