Vulnérabilités dans GnuPG, Sequoia PGP, age et minisign révélées à 39c3
Lors d’une présentation au 39c3 (Chaos Communication Congress), les chercheurs ont détaillé des vulnérabilités pratiques affectant des utilitaires de signature et de chiffrement largement utilisés, avec un site dédié (gpg.fail) et l’avertissement que la session pourrait contenir des zerodays. Les outils touchés incluent GnuPG, Sequoia PGP, age et minisign. Les failles proviennent principalement de bugs d’implémentation — notamment dans le parsing des formats — et non de défauts dans les primitives cryptographiques. Un exemple cité est la confusion sur les données réellement signées, permettant à un attaquant, sans la clé privée du signataire, d’échanger le texte en clair. ...