eMudhra sertifika otoritesinin gizli anahtarları saniyeler içinde kırıldı
Öne çıkanlar
- eMudhra'ya ait sekiz ara sertifikanın gizli anahtarları 256 olasılıklı tek baytlık değerlerle üretildi.
- Chrome ve Firefox ilgili sertifikaları engelledi, Mozilla kök sertifikayı tamamen kaldırdı.
- curl, Python ve Node.js gibi iptal kontrolü yapmayan araçlar sahte sertifikaları geçerli kabul etti.
Güvenlik araştırmacıları, sertifika otoritesi eMudhra'ya ait sekiz ara sertifikanın gizli anahtarlarının yalnızca tek bayttan oluşan zayıf değerlerle üretildiğini ortaya çıkardı. Normal şartlarda 384 bitlik devasa rastgele sayılar olması gereken P-384 eliptik eğri anahtarlarının '4', '56' ve '115' gibi küçük tam sayılardan ibaret olduğu belirlendi. Durumun bildirilmesinin ardından Apple, Google, Microsoft ve Mozilla hızla harekete geçerek ilgili kök ve ara sertifikaları engelledi ve güvenilir kök depolarından çıkardı.
Söz konusu ara sertifikalar, Nisan 2025'te oluşturulan altı TLS ve iki kod imzalama otoritesini kapsıyor. Ayrıca bu sertifikaların tümü Sectigo'nun kök sertifikasıyla da çapraz imzalandı. Anahtarlar 47 baytlık sıfır dizisi ve ardından gelen tek bir bayttan oluştuğu için, olası 256 değer kaba kuvvet yöntemiyle standart bir dizüstü bilgisayarda saniyeler içinde çözüldü. Bu durum, sertifikaların yayımlandığı günden itibaren anahtarların fiilen herkesin erişimine açık kaldığı anlamına geliyor.
Ana akım internet tarayıcıları sertifika şeffaflığı ve iptal listeleri sayesinde korunurken, tarayıcı dışındaki istemciler ciddi bir risk altında bulunuyor. curl, Python, Node.js, Go çalışma ortamları ve işletim sistemi araçları varsayılan olarak iptal kontrollerini yapmadığı için bu zayıf anahtarlarla sahte sertifikalar üretilip trafiğin arasına girilebiliyor. Uzmanlar, güncellenemeyen IoT cihazları ve gömülü sistemlerin sertifika geçerlilik süresi olan 2039 yılına kadar savunmasız kalabileceğini vurguluyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.