已知问题

本页面列出了 Tink 中的已知问题,按语言版本排序:

请点击表格中的链接,详细了解各个已知问题。

Java(不包括 Android)

Tink Java 使用底层安全提供程序,如 Conscrypt、Oracle JDK、OpenJDK 或 Bouncy Castle。提供程序中的任何安全问题都可以在 Tink Java 中继承。

我们建议将 Tink 与最新版本的提供程序搭配使用,尤其是在您使用 ECDSA(替代方案:ED25519)或 AES-GCM(替代方案:AES-EAX、AES-CTR-HMAC-AEAD 或 XChaCha20-Poly1305)的情况下。

已知问题 受影响的版本
流式 AEAD:整数溢出 1.0.0 - 1.3.0
信封 AEAD:Malleability 全部
叉子安全 All

Android

Tink 支持的最低 API 级别是 19 (Android KitKat)。

在 Android 上,Tink 默认使用 GMS Core 提供的 Conscrypt,否则使用 Conscrypt。提供程序中的任何安全问题都可以在 Tink 中继承。

我们建议将 Tink 与最新版本的提供程序搭配使用。

已知问题 受影响的 Tink 版本 受影响的 Android API 级别
流式 AEAD:整数溢出 1.0.0 - 1.3.0 全部
信封 AEAD:Malleability 全部 全部
叉子安全 All All
AesGcm All <= 19
不支持(参见上文) All <= 18

C++

Tink C++ 使用 BoringSSL 或 OpenSSL 作为底层库。底层库中的所有安全问题都可以在 Tink C++ 中继承。

已知问题 受影响的版本
JSON 解析 DoS 1.0.0 - 2.1.3
细微 AEAD:AES-CTR-HMAC 和 EncryptThenAuthenticate 1.0.0 - 1.3.0
信封 AEAD:Malleability 全部
叉子安全 All

Python

Tink Python 是使用 pybind11 的 Tink C++ 的封装容器。Tink C++ 中的任何安全问题都可以在 Tink Python 中继承。

已知问题 受影响的版本
信封 AEAD:Malleability 全部
叉子安全 All

Go

Tink Go 使用底层 Go 加密库。这些库中的所有安全问题都可以被 Tink Go 继承。

已知问题 受影响的版本
流式 AEAD:整数溢出 1.0.0 - 1.3.0
信封 AEAD:Malleability 全部
叉子安全 All

Objective-C

Tink Objective-C 是 Tink C++ 的封装容器。Tink C++ 中的任何安全问题都可以在 Tink Objective-C 中继承。

已知问题 受影响的版本
信封 AEAD:Malleability 全部
叉子安全 All