Rust 安全響應工作組發布了一個安全公告稱，其在調查有關影響 crates.io Web 應用程序中令牌生成的安全問題時，發現了另一個影響 crates.io API 令牌的漏洞。因此，出于謹慎考慮，該團隊決定撤銷所有現有的 API 密鑰。
想要在實踐中利用這兩個漏洞是非常不切實際的，而且我們也還沒有發現該漏洞已在野外被利用的證據。但出于謹慎考慮，我們選擇撤銷所有現有的 API 密鑰。您可以在 crates.io/me 上生成一個新的 API 密鑰。
Rust 方面表示，一直以來，用于 crates.io 的 API 密鑰都是使用 PostgreSQL 随機函數生成的，但該函數并不是一個加密安全的随機數生成器。這意味着從理論上講，攻擊者可以觀察到足夠的随機值來确定随機數生成器的内部狀态，并使用此信息來确定以前創建的 API 密鑰，直到最後一次數據庫服務器重啟為止。
同時作為調查的一部分，其還發現了軟件包的 API 密鑰是以純文本格式存儲。這意味着，如果攻擊者破壞了數據庫，那麼他們将具有所有當前令牌的 API 訪問權限。
目前，為了緩解這一漏洞，Rust 團隊稱，其已經推出了一種加密安全的随機數生成器，并實現了用于将令牌存儲在數據庫中的 hashing。
Rust 團隊列出的有關時間線顯示：其于 7 月 11 日收到了這一漏洞報告;7 月 14 日則部署了修補程序，并撤銷了現有令牌，同時公開披露了該問題。
免責聲明：本文僅代表作者個人觀點，與每日科技網無關。其原創性以及文中陳述文字和内容未經本站證實，對本文以及其中全部或者部分内容、文字的真實性、完整性、及時性本站不作任何保證或承諾，請讀者僅作參考，并請自行核實相關内容。
本網站有部分内容均轉載自其它媒體，轉載目的在于傳遞更多信息，并不代表本網贊同其觀點和對其真實性負責，若因作品内容、知識産權、版權和其他問題，請及時提供相關證明等材料并與我們聯系，本網站将在規定時間内給予删除等相關處理.
