Hindistan merkezli sertifika otoritesi eMudhra'da özel anahtar oluşturma açığı ortaya çıktı, küresel tarayıcılar ortadaki adam saldırılarını önlemek için acilen kara listeye aldı.
BlockBeats haberine göre, 21 Ekim'de küresel siber güvenlik camiasında büyük yankı uyandıran bir sertifika otoritesi (CA) güvenlik olayı ortaya çıktı. Hindistan merkezli CA kuruluşu eMudhra'nın, güvenlik araştırmacıları tarafından verdiği 8 ara sertifikanın özel anahtarlarının son derece ciddi üretim kusurları içerdiği tespit edildi. Son derece yüksek güvenlik gücüne sahip olması gereken bu özel anahtarlar, uygulama hatası nedeniyle gerçekte yalnızca çok küçük tam sayılara (4, 56, 66 gibi) karşılık gelen bilgi içeriyordu ve bu da güvenlik görevlilerinin bunları bir saniyeden kısa sürede tamamen kırmasını mümkün kıldı. Bu güvenlik açığı, ağ iletişim güvenliğini sağlamak için kullanılan güven temelini işlevsiz hale getirdi.
Ara sertifikalar, HTTPS şifreleme güven zincirinin kritik bir halkasıdır; özel anahtarları kolayca ele geçirildiğinde, saldırganlar bunları kullanarak güvenilir görünen sahte HTTPS sertifikaları oluşturabilir ve bankalara, e-posta hizmetlerine veya güvenilen herhangi bir web sitesine karşı ortadaki adam saldırıları düzenleyerek kullanıcıların iletişim verilerini engelleyebilir, tahrif edebilir veya çalabilir. Olayın kaynağı dışarıdan bir hacker'ın kötü niyetli saldırısı değil, eMudhra'nın sertifika üretim sürecindeki felaket niteliğindeki uygulama hatasıydı ve güvenliği neredeyse sıfır olan özel anahtarlar üretildi.
Olayın ortaya çıkmasının ardından dünyanın önde gelen tarayıcı ve yazılım üreticileri hızla acil savunma önlemleri aldı. Chrome, Firefox, Apple ve Microsoft, bu 8 riskli ara sertifikayı kara listeye alan ve kullanıcıların bunlar tarafından verilen sahte sertifikalara erişmesini engelleyen güvenlik güncellemeleri yayınladı. Aynı zamanda eMudhra şirketi de bu kusurlu sertifikaları resmen iptal etti. Ayrıca, birçok yazılım kendi sertifika güven deposuna bağımlı olduğundan, Go, Python, Rust ve Electron gibi yaygın geliştirme dilleri ve çerçeveleri de kendi ekosistemlerinde etkilenen bu sertifikaları yasaklayan acil güncellemeler yayınladı.
Şu ana kadar küresel güvenlik kurumları, bu zayıf özel anahtarların sahte sertifika vermek için kötüye kullanıldığına dair herhangi bir kanıt bulamadı. Ancak, geniş IoT cihaz yelpazesi ve zamanında güncellenmeyen eski sistemler göz önüne alındığında, bu güvenlik riskinin tamamen temizlenmesi zaman alacaktır. Güvenlik uzmanları kullanıcılara, şu anda en doğrudan ve etkili koruma önleminin tarayıcı ve işletim sistemlerinin en son sürümde olduğundan emin olmak olduğunu hatırlatarak, böylece en güncel sertifika kara listesinin alınabileceğini ve kendi ağ erişim güvenliğinin sağlanabileceğini belirtti.
