Açıklanan Her Alan Neden Kendi Tuzunu Taşır
Ve mekanizma bölümünden önce kapsam bölümünü okuyun: dürüst iddia, sayfa başlığının ima ettiğinden dardır.
Bir açıklama gerçekte neye benziyor
Seçici olarak açıklanabilir sıkıştırılmış bir kimlik bilgisini ~ üzerinden ayırın. Baştaki imzalı
jeton ile sondaki isteğe bağlı anahtar bağlama jetonu arasındaki her bölüm base64url ile kodlanmış
JSON'dır ve birini çözmek size üç öğeli bir dizi verir:
[ salt, claimName, claimValue ]
Herhangi bir base64url çözücü artı JSON.parse onu okur. Solidus aracı gerekmez ve düz metin
değeri ile tuzu ikisi de tam oradadır, ki bu doğrudur: bir açıklamanın, onu gönderdiğiniz kişi
tarafından okunabilir olması amaçlanır.
Tuz ne işe yarar, ki genellikle atlanan kısım budur
Tuz olmadan, düşük entropili bir değerin özeti tahmin edilebilir.
Değeri bir ülke, bir boole ya da bir yaş aralığı olan gizli bir alan düşünün. Doğrulayıcı onun özetini tutuyor. Değer uzayı minicik. Her adayı özetleyin, karşılaştırın ve "gizli" alan mikrosaniyeler içinde geri kazanılır. Yalnızca birkaç olası değer varken bir değeri tuzsuz bir özetin arkasına saklamak hiçbir şeyi saklamaz.
O saldırıyı başarısız kılan şey tuzdur. Her açıklama kendi taze rastgele tuzunu taşır, dolayısıyla özet, saldırganın sayamayacağı bir değere bağlıdır. İddiayı tahmin etmek artık yetmez: tuzu da tahmin etmeniz gerekirdi.
İçselleştirmeye değer iki sonuç:
- Tuz kimlik bilgisi başına değil açıklama başına olmalıdır. Alanlar arasında yeniden kullanılan tek bir tuz, onu öğrenen birinin bütün alanlara aynı anda saldırmasına izin verirdi.
- Tuz koruduğunuz bir sır değildir. Açıklamayı seçtiğiniz her açıklamanın içinde açık hâlde gönderilir. İşi, açıklanmamış alanlara karşı ön hesaplamayı yenmektir; açıklanmış olanları korumak değil.
Kapsam daraltması, ki bu sayfanın dürüst çekirdeği budur
"Tuzlanmış özet açıklaması", iki standartlaştırılmış örneği olan bir örüntüyü adlandırır. Solidus'ta bunlardan yalnızca biri var.
- ISO mdoc / Mobile Security Object çeşidi yığınımızın hiçbir yerinde uygulanmamıştır.
O ikincisi bir incelik değil. Kendi depomuza değil yayımlanmış pakete karşı kontrol edildi: sıfır
dosya CBOR'a, sıfır dosya COSE'ye atıf yapıyor. ISO çeşidinin üzerine kurulduğu kodlama ve imza
katmanları. sdjwt için bir kontrol araması otuz dosyayla eşleşti, dolayısıyla arama çalışıyordu.
Paketin kendisi bunu söylüyor. Kendi başlık yorumu SD-JWT VC'yi AB cüzdan mimarisinin kabul ettiği iki biçimden biri diye tarif ediyor ve ISO mDoc'u "diğeri" olarak adlandırıyor: bu modülün yapmadığı olan.
Yani "Solidus tuzlanmış özet açıklamasını destekliyor" okuyup mobil sürücü belgeleri hayal ettiyseniz, o yanlış resimdir. Örüntüyü genel olarak değil, örüntünün belirli bir standartlaştırılmış örneğini destekliyoruz ve ISO çeşidini bekleyen bir dayanan taraf ya da cüzdan bizden hiçbir şey almaz.
Tuzun düzeltmedikleri
Özetin seyahat etmesini durdurmaz. Açıklanmamış bir alanın özeti hâlâ imzalı yüktedir ve hâlâ her sunumla birlikte dışarı çıkar: gizli anlaşma yapan doğrulayıcıların karşılaştırabileceği kararlı bir tutamak. Tuz değeri tahmin edilemez kılar; özetin varlığı hakkında hiçbir şey yapmaz.
Açıklanmış bir alanı özel kılmaz. Bir alanı açıkladığınızda doğrulayıcı değeri elde eder. Tuzlamanın derdi gizli kalanla ilgilidir.
Hiçbir şeyin kimliğini doğrulamaz. Tuzlanmış özetler değerleri imzalı bir yüke bağlar. Onları kimin sunduğu ayrı bir mekanizmadır, taşıyıcı bağlaması.