Sertifika otoritesinin zayıf anahtarları 17 ay boyunca denetimlerden geçti
Öne çıkanlar
- eMudhra tarafından üretilen sekiz kriptografik anahtar '4' gibi tek veya çift haneli basit sayılardan oluştu.
- Chrome, Wayne adlı araştırmacının uyarısı sonrasında hatalı sertifikaları iki saat içinde engelledi.
- Güvenlik araştırmacısı Scott Helme, tüm gizli anahtarları açık sertifikalar üzerinden bir saniyeden kısa sürede çıkardı.
- Hatalı anahtarlar, iki denetim raporu ve 17 aylık süre boyunca hiçbir resmi kontrole takılmadı.
Hindistan merkezli sertifika otoritesi eMudhra, sistemlerinde kullanılması gereken 384 bitlik rastgele anahtarlar yerine 4 ve 56 gibi küçük sayılardan oluşan zayıf anahtarlar üretti. Wayne adlı bir araştırmacı, 17 Ekim akşamı Apple, Google, Microsoft ve Mozilla temsilcilerine mesaj göndererek durumu bildirdi. Araştırmacı, ilgili mesajı eMudhra'nın koruması gereken sekiz gizli anahtarla ayrı ayrı imzaladı.
Söz konusu anahtarlar, 30 Nisan 2025 tarihindeki resmi anahtar üretim seremonisi sırasında hazırlanan hatalı bir betik nedeniyle ortaya çıktı. Hata sonucunda güçlü anahtarların yanında zayıf sürümler üretildi ve operasyonel süreçlerde yanlış anahtarlar kullanıldı. Sertifikaların iptal listelerindeki imza uyumsuzlukları daha sonra fark edilmesine rağmen kurum, sertifikaları iptal etmek yerine zayıf anahtarları kullanmayı sürdürdü. Güvenlik uzmanı Ryan Hurst, bağımsız denetimlerin yalnızca süreç kontrollerine odaklandığını ve hiç kimsenin doğrudan anahtarların içeriğini doğrulamakla görevlendirilmediğini açıkladı.
Chrome, bildirimin ardından sertifikaları iki saat içinde engelledi. Olayın kamuoyuna yansımasından sonra güvenlik araştırmacısı Scott Helme, dizüstü bilgisayarındaki genel sertifikalar üzerinden tüm anahtarları bir saniyeden kısa sürede elde ettiğini duyurdu. Büyük teknoloji şirketlerinin kök sertifika programları, iki ayrı bağımsız denetim ve resmi bir inceleme süreci boyunca toplam 17 ay boyunca bu zayıflığı tespit edemedi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.