Dünya genelinde güvenlik uzmanları, zayıf özel anahtarlara sahip sekiz TLS sertifikasının keşfi üzerine yüksek alarm durumuna geçti. Bu sertifikalar, kötü niyetli kişilerin internet üzerindeki herhangi bir site için güvenilir tarayıcı ve uygulama kimlik bilgileri oluşturmasına olanak tanıyabilir.
Salı sabahı itibarıyla, tarayıcı üreticileri ve bazı büyük uygulama ile programlama dilleri, bu sekiz ara sertifikayı engelledi. Ancak, sertifika şeffaflık kayıtlarında, bu zayıf anahtarların kötüye kullanıldığına dair herhangi bir rapor bulunmuyor. Tehdit henüz geçmiş değil; çünkü internetin diğer önemli bileşenlerini, örneğin Linux dağıtımlarını ve gömülü cihazları güncellemek zor ve zaman alıcı olacak.
Bu sekiz ara sertifika, Hindistan merkezli sertifika otoritesi eMudhra Limited'e ait. Geçtiğimiz hafta sonu, emudhra.we-have-a-problem.com adresinde yayınlanan gayri resmi bir bilgilendirme mesajında "Burada bir problem var - Wayne" ifadesi yer aldı. Bu mesaj, eMudhra sertifikalarından birinin özel anahtarı kullanılarak dijital olarak imzalanmıştı. Bu durum, bildirimi yapan tarafın anahtara sahip olduğunu kanıtlıyor ve aynı anahtarın yetkisiz sertifikalar imzalamak için kullanılabileceği endişelerini artırıyor.
Kriptografi mühendisi Filippo Valsorda, bu durumun "Heartbleed'den daha büyük bir temizlik işi" olacağını ifade etti. Valsorda, “Çok uzun bir süreç olacak; IoT cihazları, Docker konteynerleri, unutulmuş Linux makineleri ve kendi kök kopyalarını taşıyan bakım yapılmamış CLI araçları gibi birçok sistem etkilenecek,” dedi. Ayrıca, Linux dağıtımlarının güncellemeleri hâlâ dağıtım aşamasında ve bazıları henüz hazır değil. Sistem yöneticilerinin bu güncellemeleri birçok makineye uygulaması gerekecek.
Yorumlar 0
Yorum kurallarıHenüz yorum yok. İlk yorumu siz yapın.