Wycheproof：一款针对加密代码库的安全强度测试工具
Wycheproof：一款针对加密代码库的安全强度测试工具
Wycheproof是一款由Google开发的开源工具，用于测试各种加密库的安全性。它通过实现已知的安全攻击来检测加密算法的漏洞，帮助开发者确保其代码库的安全性。本文将详细介绍Wycheproof的功能、使用方法及其支持的加密算法。
关于Wycheproof
Wycheproof是一款功能强大的加密代码库安全强度检测工具，广大研究人员可以使用Wycheproof来测试加密库的安全健壮度。
工具背景
在密码学中，微小的错误往往会带来灾难性的后果。我们发现，许多加密库频繁陷入这些实施陷阱，且问题常常持续很长时间。然而，获得可靠的实施指南非常困难，因为安全地实现密码学需要深入理解几十年的学术研究。我们意识到，软件工程师经常通过单元测试来修复和预防错误，而加密漏洞也可以用类似的方式解决。
基于这些观察，我们开发了 Wycheproof 项目。这是一个由单元测试组成的测试框架，专门用于检测已知的安全弱点，或者验证某些加密算法的正确行为。Wycheproof 提供了对多种常用加密算法的测试支持，包括 RSA、椭圆曲线加密和认证加密。我们的密码学家团队系统地调查了相关文献，并实现了大多数已知的攻击。项目中包含 80 多个测试用例，已发现 40 多个安全漏洞。举例来说，我们成功恢复了广泛使用的 DSA 和 ECDHC 实现中的私钥。
尽管我们努力涵盖尽可能多的攻击类型，Wycheproof 项目并不意味着它可以确保加密库完全安全，只能说明它通过了 Wycheproof 的测试。密码学领域不断有新的攻击被发现。然而，借助 Wycheproof 项目，开发者和用户无需花费多年时间阅读学术论文或成为密码学专家，就可以检测他们的库是否易受大量已知攻击的威胁。
覆盖率
当前版本的Wycheproof支持测试目前绝大多数的加密算法，其中包括：
- AES-EAX
- AES-GCM
- ChaCha20-Poly1305
- DH
- DHIES
- DSA
- ECDH
- ECDSA
- EdDSA
- ECIES
- HKDF
- HMAC
- RSA
- X25519, X448
这些测试可以帮助我们确定一个加密代码库是否会受到以下威胁的影响：
- 无效曲线攻击
- 数字签名方案中的有偏随机数
- Bleichenbacher相关的所有攻击
工具要求
- Bazel
- Java JCE
工具安装
广大研究人员可以直接使用下列命令将该项目源码克隆至本地：
git clone https://github.com/google/wycheproof.git
工具使用
要测试 Bouncy Castle 的最新稳定版本：
bazel test BouncyCastleAllTests
测试其他版本，例如 v1.52：
bazel test BouncyCastleAllTests_1_52
测试所有已知版本（警告，将花费很长时间）：
bazel test BouncyCastleAllTests_*
要测试本地 jar，请设置WYCHEPROOF_BOUNCYCASTLE_JAR环境变量：
$ WYCHEPROOF_BOUNCYCASTLE_JAR=/path/to/bouncycastle
$ bazel test BouncyCastleTestLocal
$ bazel test BouncyCastleAllTestsLocal
注意：Bazel 目前不会因环境变化而使构建无效。如果您更改了WYCHEPROOF_BOUNCYCASTLE_JAR环境变量，请运行bazel clean以强制重建：
$ WYCHEPROOF_BOUNCYCASTLE_JAR=/path/to/bouncycastle
$ bazel test BouncyCastleTestLocal
$ WYCHEPROOF_BOUNCYCASTLE_JAR=/path/to/other/jar
$ bazel clean
$ bazel test BouncyCastleTestLocal
如需测试Spongy Castle，请将BouncyCastle替换为SpongyCastle：
bazel test SpongyCastleAllTests
测试Amazon Corretto Crypto Provider：
bazel test AccpAllTests
要测试 Amazon Corretto Crypto Provider 的本地 jar，请设置 WYCHEPROOF_ACCP_JAR环境变量：
$ WYCHEPROOF_ACCP_JAR=/path/to/accp
$ bazel test AccpTestLocal
$ bazel test AccpAllTestsLocal
许可证协议
本项目的开发与发布遵循Apache-2.0开源许可协议。
项目地址
Wycheproof：【GitHub传送门】