1月18日，网络安全研究国际学术论坛InForSec2019年年会在清华大学举办。 上海交通大学李卷孺在会上作了《司南: 定位二进制代码中的不安全密钥》的报告，分享了自己的研究成果。
上海交通大学李卷孺
演讲主题：K-Hunt: Pinpointing Insecure Cryptographic Keys from Execution Traces（司南: 定位二进制程序执行中的不安全密钥）→PPT下载
内容摘要：密钥（crypto keys）是现代密码学中至关重要的秘密信息，也是密码系统中需要保密的唯一元素。理解密钥在密码软件中的使用、发现不安全的密钥使用特例，对于密码学系统的安全审计而言极为关键。为了帮助分析人员更好地定位密钥、分析密钥在软件中（特别是二进制代码中）的使用，我们设计并实现了K-Hunt，一款基于二进制代码插桩分析的密钥自动化安全分析系统。K-Hunt关注密钥使用的本质特征从而定位密钥区域（key buffers），继而追踪密钥数据的整个生命周期（生成、使用和销毁），从中发现不安全的密钥使用问题。K-Hunt的设计哲学保证它不需要特定的密码算法知识就能发现不安全密钥使用——通过对10款典型的密码学算法库和15个密码学软件的分析表明，K-Hunt不仅广谱地定位了所使用的对称、非对称密码算法中的密钥信息，还在这25个测试用例中发现其中22个均存在密钥的不安全使用，其中包括知名的密码算法库（Libsodium， Nettle， TomCrypt， WolfSSL）
