V6.2.4 Algorithms

Requirement:

Verify that random number, encryption or hashing algorithms, key lengths, rounds, ciphers or modes, can be reconfigured, upgraded, or swapped at any time, to protect against cryptographic breaks. (C8)](https://owasp.org/www-project-proactive-controls/#div-numbering)))

Explanation:

Требование заключается в обеспечении того, чтобы определенные режимы криптографических блоков, режимы подшивки, шифры с малым размером блока и слабые алгоритмы хэширования не использовались, если только они не необходимы для поддержания совместимости со старыми системами.

Remediation:

Требование заключается в том, чтобы криптографические алгоритмы, длины ключей, шифры, режимы и алгоритмы хэширования, используемые в системе, можно было легко переконфигурировать, модернизировать или менять местами по мере необходимости. Такая гибкость важна для защиты от пробьем с криптофграфией, таких как усовершенствование методов атак или обнаружение уязвимостей в существующих алгоритмах.

Random Number Generation

В криптографических операциях крайне важно использовать действистельно случайные числа. Чтобы обеспечить возможность изменения конфигурации алгоритма генерации случайных чисел, можно абстрагировать процесс генерации случайных чисел в отдельный модуль или функцию. Вот пример использования модуля 'secrets' в Python:

import secrets

def generate_random_bytes(length):

return secrets.token_bytes(length)

# Example usage

random_data = generate_random_bytes(16)

Инкапсулируя генерацию случайных чисел в отдельную функцию, вы можете легко заменить реализацию на другой алгоритм или библиотеку, если это необходимо.

Encryption or Hashing Algorithms

Чтобы обеспечить возможность изменения конфигурации алгоритмов шифрования или хэширования, вы можете спроектировать свою систему таким образом, чтобы абстрагироваться от выбора алгоритма. Например, можно определить интерфейс или файл конфигурации, в котором указывается алгоритм, и использовать эту конфигурацию для инициализации криптографических операций. Вот пример использования библиотеки Cryptography в Python:

from cryptography.hazmat.primitives import hashes, encryption, padding

def encrypt_data(data, encryption_algo, key):

cipher = encryption_algo(key)

# Encrypt the data using the specified encryption algorithm

# ...

# Example usage

encryption_algo = encryption.ChaCha20

key = generate_random_bytes(32)

encrypted_data = encrypt_data(data, encryption_algo, key)

Сделав алгоритм шифрования настраиваемым, вы можете легко заменить его другим алгоритмом по мере необходимости.

Key Lengths and Rounds

Длины ключей и определяют стойкость криптографических алгоритмов. Чтобы обеспечить возможность изменения конфигурации длин ключей, вы можете определить их как переменные или параметры конфигурации. Вот пример задания длины ключа с помощью библиотеки Cryptography

from cryptography.hazmat.primitives import hashes

key_length = 32 # 256 bits

def generate_hash(data):

hash_algo = hashes.SHA256()

digest = hashes.Hash(hash_algo)

digest.update(data)

return digest.finalize()

# Example usage

hashed_data = generate_hash(data)

Установив длину ключа в качестве настраиваемого параметра, вы можете легко изменить его без изменения основной реализации.

Ciphers or Modes

Чтобы обеспечить возможность изменения конфигурации шифров или режимов, вы можете аналогичным образом определить их как переменные или параметры конфигурации. Вот пример использования библиотеки Cryptography для настройки шифра.

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes

cipher_algo = algorithms.AES

mode_algo = modes.CBC

def encrypt_data(data, key, iv):

cipher = Cipher(cipher_algo(key), mode_algo(iv))

# Encrypt the data using the specified cipher and mode

# ...

# Example usage

cipher = generate_random_bytes(16)

iv = generate_random_bytes(16)

encrypted_data = encrypt_data(data, key, iv)