Hindistan merkezli sertifika otoritesi eMudhra’ya ait sekiz imzalama anahtarının ele geçirilmesi, tarayıcı korumaları ile web siteleri ve alım satım araçlarının arka planında çalışan yazılımlar arasındaki bir açığı ortaya çıkardı. 21 Ekim itibarıyla büyük tarayıcı üreticileri etkilenen sertifikaları engellemişti, ancak bazı tarayıcı dışı programlar sertifikaların iptal edilip edilmediğini kontrol etmedikleri için sahte kimlik bilgilerini hâlâ kabul edebiliyordu.
Öne Çıkanlar
- Araştırmacılar, güvenilir web sitelerini taklit eden sertifikaları imzalamak için kullanılabilecek sekiz zayıf özel anahtarı ele geçirdi.
- Tarayıcı üreticileri etkilenen sertifikaları engelledi, ancak iptal kontrolü tek başına bu kontrolü hiç yapmayan yazılımları korumuyor.
- Herhangi bir kripto saldırısı bildirilmedi; endişe, internet genelinde kullanılan güncelliğini yitirmiş yazılımları da kapsıyor.
İçindekiler
- eMudhra anahtar ihlali nerede açık bırakıyor?
- Hangi korumalar kullanıcılara ulaştı?
- Zayıf anahtarlar web sitesi doğrulamasını nasıl sekteye uğrattı?
- Alım satım yazılımları neden ayrıca ele alınmalı?
- Sonuç
eMudhra anahtar ihlali nerede açık bırakıyor?
Önemli fark, bir sertifikayı iptal etmek ile yazılımın bu sertifikaya güvenmeyi reddetmesini sağlamak arasındadır. eMudhra etkilenen sertifikaları iptal etti, ancak güvenlik araştırmacısı Scott Helme bu adımın iptal durumunu kontrol etmeyen programlara hiçbir koruma sağlamadığı uyarısında bulundu.
Helme, testlerinde curl, Python, Node, Go ve Java’nın Stripe API’si için sahte bir sertifikayı kabul ettiğini söyledi. Bu, sertifikanın kabul edildiğine dair bir gösterimdi; Stripe’ın ihlal edildiğine dair kanıt değildi.
Sahte bir sertifika, ağ trafiğini araya girerek izleyen bir saldırganın güvenilir bir hizmeti taklit etmesine ve trafiği okumasına ya da değiştirmesine olanak tanıyabilir. Tarayıcı engellemeleri, koruma sağlayan tarayıcılarda bu yolu kapatır; ancak her ayrı uygulamanın veya arka uç sisteminin eşdeğer koruma aldığı anlamına gelmez.
| Öğe | Detaylar |
|---|---|
| Mozilla ve Chrome | Her ikisi de etkilenen sertifikaları 17 Ekim’de engelledi; Mozilla’nın engellemesi, bildirimin ardından yaklaşık üç saat içinde geldi. |
| Apple | 19 Ekim’de kendi yanıtını verdi. |
| Microsoft | 20 Ekim’de yanıt verdi. |
| Sertifika iptali | eMudhra etkilenen sertifikaları iptal etti, ancak bu önlemin fayda sağlaması için yazılımın iptal durumunu kontrol etmesi gerekiyor. |
| Tarayıcı dışı yazılımlar için mevcut düzeltmeler | Go, Python’ın certifi paketi ve Rust’ın webpki-roots bileşeni için düzeltmeler mevcuttu. |
| Node.js | 21 Ekim itibarıyla bir düzeltme henüz beklemedeydi. |
Hangi korumalar kullanıcılara ulaştı?
Yanıt süreci, Wayne adlı bir araştırmacının 17 Ekim’de tarayıcı üreticilerini uyarmasının ardından başladı. Wayne, uyarısını dijital olarak imzalamak için sekiz ele geçirilmiş anahtarın tümünü kullanarak bu anahtarlar üzerindeki kontrolünü gösterdi. Düzeltmelerin mevcut olması, her kurulumun güncellendiğini göstermiyordu.
Zayıf anahtarlar web sitesi doğrulamasını nasıl sekteye uğrattı?
Sertifika otoriteleri, tarayıcıların web sitelerinin kimliğini doğrulamak için kullandığı kimlik bilgilerini sağlar. Bu nedenle özel imzalama anahtarlarının sorumluluğu sıradan bir web sitesi parolasından farklıdır: Ele geçirilen bir imzalama anahtarı, başka siteler için gerçekmiş gibi görünen sertifikalar üretmekte kullanılabilir.
Helme, sekiz anahtarın tümünü herkese açık sertifikalardan bir saniyeden kısa sürede elde ettiğini söyledi. Belirlediği özel anahtar değerleri arasında 4 ve 56 da bulunuyordu; bu değerler, anahtarların kurtarılmaya karşı ne kadar az direnç gösterdiğini ortaya koyuyordu. Helme, anahtarların Nisan 2025’ten beri açıkta olduğunu söyledi.
Helme’nin Mozilla hata kaydını yorumlamasına göre eMudhra, sorunu anahtar kurulum betiğindeki bir hataya bağladı.
Alım satım yazılımları neden ayrıca ele alınmalı?
Kripto kullanıcıları açısından söz konusu risk, yalnızca bir borsayı tarayıcıda açmakla sınırlı değil. Borsa botları, alım satım betikleri ve cüzdan arka uç sistemleri etkilenen tarayıcı dışı yazılımlara dayanabilir. Teorik olarak sahte bir borsa API sertifikası, aynı ağdaki bir saldırganın bot trafiğini araya girerek izlemesine veya değiştirmesine olanak tanıyabilir.
Herhangi bir kripto saldırısı bildirilmedi. Polygon Labs baş teknoloji sorumlusu Mudit Gupta, açığın kriptoya özgü değil, genel bir yazılım güvenliği sorunu olduğunu ve eski ya da yamalanmamış yazılımların özellikle endişe verici olduğunu söyledi. Cüzdanlarını, alım satım araçlarını ve cihazlarını güncel tutan kullanıcıların daha düşük riskle karşı karşıya olduğunu belirtti.
Sonuç
Tarayıcıların verdiği yanıt, sertifika taklidine yönelik acil bir yolu kapattı, ancak daha geniş yazılım sorununu çözmedi. Geriye kalan risk, yalnızca sertifika sağlayıcısının sertifikaları iptal edip etmediğine değil, her bir aracın ele geçirilmiş kimlik bilgilerini reddedip reddetmediğine bağlı.
Daha Fazla Haber Okuyun
Daha fazla FinanceVelix haberi
Sorumluluk Reddi
Bu FinanceVelix makalesi genel bilgilendirme amaçlıdır; kişiye özel finansal, yatırım, hukuki veya vergi tavsiyesi değildir. Piyasa fiyatları, faiz oranları ve ekonomik koşullar değişebilir; yatırımlar kayıp riski taşır. Bilgiler, yayımlandığı sırada mevcut olan materyalleri yansıtır ve değişebilir. Önemli bilgileri bağımsız olarak doğrulayın ve gerektiğinde nitelikli bir uzmana danışın. Bir varlıktan, şirketten veya hizmetten söz edilmesi, bunların onaylandığı anlamına gelmez.
