Patch za propust u Androidu

Google je izdao službenu zakrpu za Android uređaje koji ispravlja težak propust u implementaciji Java SecureRandom generatora slučajnih brojeva.

Taj propust je ugrozio sigurnost Bitcoin arhitekture, odnosno Bitcoin wallet aplikacije, jer omogućava otkrivanje cjelokupnog privatnog ključa napadnutih korisnika.

Zabilježeni su slučajevi nepravilnog digitalnog potpisivanja prilikom transakcija te korištenja istog slučajno generiranog broja u više transakcija. Prije nekoliko dana Bitcoin Foundation organizacija, koja upravlja cjelokupnom Bitcoin arhitekturom, za ovaj je propust optužila Google i operativni sustav Android.

Nedugo zatim oglasio se i Google s priopćenjem na blogu u kojem priznaje da su slučajno generirani brojevi na Android uređajima kriptografski slabi. Također se preporučuje da developeri umjesto JCA (Java Cryptography Architecture) API-a koji generira slabe ključeve, koriste neke alternativne API-e kao što su: SecureRandom, KeyGenerator, KeyPairGenerator, KeyAgreement i Signature. Na kraju treba spomenuti i negativnu stranu nove zakrpe - proći će mnogo vremena dok zakrpa dođe do svih korisnika.

Zakrpu trebaju, osim u Googleu, potvrditi i proizvođači Android uređaja te mobilni operateri, koji će onda sami dostaviti zakrpu korisnicima, što ne mora nužno biti slučaj za sve uređaje i operatere.