Certains ont peut-être suivi mes échanges rapprochés avec @cgeek lors des RML14 concernant un écart entre Dunitrust et Duniter sur la génération des signatures et leur vérification. Afin de ne pas créer d’inquiétudes inutiles, j’attendais de découvrir le fin mots de l’histoire avant de communiquer …

@cgeek ça y ai les tests passent. Et mes tests manuels sur g1-test sont concluants :slight_smile: Du coup tu peut enfin merger ma MR et on vas enfin pouvoir tester la passage en V12 sur la G1-test :smiley:

Merci à toi pour cette investigation et ces solutions :+1: Peut-être qu’on pourrait mettre en place une rémunération provenant du compte des développeurs pour rémunérer ce travail d’investigation et de proposition de solution. Qui va s’occuper de faire le changement de protocole (v12) et l’intégra…

[image] Moul: Peut-être qu’on pourrait mettre en place une rémunération provenant du compte des développeurs pour rémunérer ce travail d’investigation et de proposition de solution. Ce serait bienvenue en effet :slight_smile: [image] Moul: Qui va s’occuper de faire le changement de proto…

Plus de détails sur le bug en question : Arithmetic Bug in TweetNaCl This error should be relatively frequent, it happens around or a bit less than one time for every 2^16 computations 2^16 c’est bien du même ordre de grandeur que la fréquence des signatures invalides dans la blockchain Ğ1 (les …

[image] elois: N’avez vous jamais essayer de vérifier les signatures des blocs ? Pouvez vous essayer de vérifier la signature du bloc #15144 avec votre lib de crypto ? Nop, je fais ça aujourd’hui pour Duniterpy ! Bravo pour ce boulot ! :+1:

Voila qui devrait intéressé @Junidev , qui avait également relevé et signé des problèmes de validation de blocs…

Ok grâce aux tests de @Moul on a confirmation que Duniterpy utilise une lib de crypto iso avec la norme Ed22519 tout comme Dunitrust : [image] Verify blocks signatures with Silkaj/DuniterPy Silkaj Ok, top ! … Ce qui veut dire qu’environ 1 document sur 2^64 signé par …

Si tout cela se confirme, je dirais au contraire que c’est une bonne nouvelle : une faille cryptographique a été détectée, ce qui est une des failles les moins faciles à mettre en évidence. La preuve, il a fallu 2,5 ans pour débusquer celle-ci. Et pourtant rien n’était caché, c’est du logiciel libre…

[image] elois: Ce qui veut dire qu’environ 1 document sur 2^64 signé par silkaj/sakia est rejeté par Duniter, c’est sans doute déjà arrivé sans qu’on s’en rende compte Ça fait une probabilité de très faible si tu multiplies ça par l’utilisation de Silkaj/Sakia/DuniterPy. Ça s’est peut-être d…

[image] cgeek: À quoi sert cette phrase ? Bien évidemment que personne n’a envie d’utiliser une librairie de crypto buguée, quant à l’audit celui-ci n’est pas une démonstration de l’absence de bug. Il rassure, tout au plus. Oui tu as raison cette phrase ne sert à rien dsl, des fois j’enfonce …

J’ai passé le ticket relatif en mode confidentiel. C’est comme une CVE, mais non publiée.

Duniter Forum

Duniter utilise une ancienne version buggée de TweetNaCl: que faire?

Nodes Duniter-v1

duniter, dunitrust, crypto

show post in topic

Home
Categories
Guidelines
Terms of Service
Privacy Policy

Powered by Discourse, best viewed with JavaScript enabled