← Back to branch summary

~ubuntu-security/ubuntu-cve-tracker/master

« back to all changes in this revision

Viewing changes to mir_reviews/python-ecdsa/audits/bug.txt

  • Committer: Steve Beattie
  • Date: 2019-02-19 06:18:27 UTC
  • Revision ID: sbeattie@ubuntu.com-20190219061827-oh57fzcfc1u9dlfk
The ubuntu-cve-tracker project has been converted to git.

Please use 'git clone https://git.launchpad.net/ubuntu-cve-tracker' to
get the converted tree.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mir_reviews/python-ecdsa/audits/bug.txt
1
 
I reviewed python-ecdsa version 0.11-1 as checked into utopic. This
2
 
should not be considered a full security audit; no effort has been made
3
 
to verify that this library is free from timing leaks, information leaks,
4
 
nor cryptographically relevant implementation flaws. Anyone interested
5
 
in relying upon this library would be wise to consult with a professional
6
 
cryptographer to determine suitability for purpose.
7
 
 
8
 
Because the codebase is short and sweet, I'll skip the more exhaustive
9
 
checklist. This library doesn't daemonize, doesn't do networking, doesn't
10
 
provide exotic interfaces. It just does DER and ECC.
11
 
 
12
 
The code looks clean and careful, parameters are checked for validity,
13
 
there are copious references to authoritative sources to find algorithms,
14
 
enough test vectors to have confidence in simple uses of the library, and
15
 
the scope of the project is small enough that it is unlikely to need
16
 
drastic work.
17
 
 
18
 
With a quick re-iteration that there are many different kinds of
19
 
implementation flaws that are fatal to cryptographic libraries that are
20
 
well beyond the scope of a quick review, the code looks straightforward.
21
 
 
22
 
Security team ACK for promoting python-ecdsa to main.