İnternet sitelerinin kimliğini doğrulayan eMudhra’nın sekiz zayıf özel anahtarının açığa çıkması, tarayıcılarda acil önlem alınmasına yol açarken borsalara bağlanan işlem botları ve diğer yazılımlar için de koşullu bir güvenlik riski oluşturdu.
CoinDesk’in haberine göre Wayne adlı araştırmacı, 17 Ekim’de Hindistan merkezli sertifika otoritesi eMudhra’daki açığı tarayıcı üreticilerine bildirdi. Araştırmacı, uyarı mesajını açığa çıkan sekiz anahtarla dijital olarak imzalayarak bulgusunu gösterdi.
Sertifika otoriteleri, bir internet sitesine bağlanırken doğru sunucuyla iletişim kurulduğunun doğrulanmasına yardımcı oluyor. Bu kuruluşların imzalama anahtarları ele geçirilirse, saldırganlar güvenilir görünen sahte sertifikalar hazırlayabiliyor.
Sekiz anahtar bir saniyeden kısa sürede çıkarıldı
Güvenlik araştırmacısı Scott Helme, eMudhra’nın özel anahtarlarından bazılarının 4, 56 ve 115 gibi küçük sayılar olduğunu belirtti. Helme’ye göre sekiz anahtarın tamamı, kamuya açık sertifikalardan bir saniyeden kısa sürede elde edilebildi ve bu zayıflık Nisan 2025’ten beri mevcuttu.
Helme, Mozilla hata kaydına dayanarak şirketin sorunu anahtar oluşturma betiğindeki bir hataya bağladığını aktardı. CoinDesk, konu hakkında eMudhra’dan da yorum istedi.
İşlem botlarında risk neden devam edebilir?
Kripto tarafındaki olası risk, özellikle borsaların API’lerine bağlanarak çalışan botlar, işlem yazılımları ve cüzdanların arka uç sistemleriyle ilgili. Bir uygulama sahte sertifikayı kabul ederse ve saldırgan ağ trafiğine müdahale edebiliyorsa, borsayla yapılan iletişim okunabilir veya değiştirilebilir.
Helme’nin Stripe API’sini taklit eden sertifikayla yaptığı testlerde curl, Python, Node, Go ve Java tabanlı istemciler bu sertifikayı kabul etti. Haberde aktarılan bilgiler itibarıyla kripto kullanıcılarına veya diğer kullanıcılara yönelik gerçekleşmiş bir saldırı bildirilmedi.
Tarayıcıya gelen bir güncelleme, ondan bağımsız çalışan botun kullandığı sertifika deposunu güncellemiyor. Üstelik bazı yazılımlar sertifikaların iptal edilip edilmediğini kontrol etmediği için, sertifika otoritesinin iptal işlemi de bu uygulamalardaki riski tek başına ortadan kaldırmıyor.
Hangi sistemlerde önlem alındı?
Mozilla, bildirimin ardından yaklaşık üç saat içinde engelleme uyguladı; Chrome da 17 Ekim’de ilgili sertifikaları engelledi. Apple 19 Ekim’de, Microsoft ise 20 Ekim’de aynı yönde adım attı. eMudhra da etkilenen sertifikaları iptal etti.
Go, Python’ın certifi paketi ve Rust’ın webpki-roots bileşeni için düzeltmeler yayımlandı. Haberin hazırlandığı sıradaki son kontrole göre Node.js tarafındaki düzeltme ise henüz beklemedeydi. Bu nedenle bot işletenler açısından önemli nokta, yalnızca tarayıcının değil, uygulamanın kullandığı yazılım ve sertifika bileşenlerinin de güncel olması.
Yatırım tavsiyesi değildir.
