CoinDesk
Araştırmacıların, Hindistan merkezli sertifika otoritesi eMudhra’ya ait sekiz özel anahtarı herkese açık sertifikalardan bir saniyeden kısa sürede elde edebildiğini açıklamasının ardından anahtarların ele geçirildiği ortaya çıktı. Anahtarların güçlü rastgele değerler yerine çok küçük tam sayılardan oluştuğu bildirildi. Saldırganlar, ele geçirilen sertifika otoritesi anahtarlarıyla güvenilir sertifikaları taklit edebilir ve web sitelerini başka sitelermiş gibi gösterebilir. Kullanıcılara yönelik herhangi bir saldırı bildirilmedi.
Neden önemli
Sertifika otoriteleri, tarayıcıların web sitelerini doğrulamak için kullandığı dijital sertifikaları düzenler. İmzalama anahtarının ele geçirilmesi, sahte bir sertifikanın gerçek görünmesini sağlayarak bu güveni sarsabilir. The Register’a göre eMudhra 60 milyondan fazla sertifika düzenledi.
Tarayıcı üreticileri hızla harekete geçti: Mozilla ve Chrome sertifikaları 17 Ekim’de, Apple 19 Ekim’de, Microsoft ise 20 Ekim’de engelledi. eMudhra da sertifikaları iptal etti. Bildirilen neden, şirketin anahtar kurulum betiğindeki bir hataydı; ancak hatanın tam olarak nasıl işlediği belirsizliğini koruyor.
Piyasa etkisi
Tarayıcılar büyük ölçüde koruma altında, ancak diğer yazılımlarda sertifika iptal kontrolleri farklılık gösteriyor. Araştırmacı Scott Helme, yaptığı testlerde curl’ün ve Python, Node, Go ve Java kullanan yazılımların Stripe API’si için sahte bir sertifikayı kabul ettiğini belirtti. Go, Python’ın certifi paketi ve Rust’ın webpki-roots paketi için düzeltmeler yayımlanmıştı. Haberde aktarılan sırada Node.js için düzeltme bekleniyordu.
Kripto şirketleri açısından risk, tarayıcı dışındaki sistemlerde yoğunlaşıyor. Etkilenen yazılımlar üzerinden bağlantı kuran borsa botları, alım satım betikleri ve cüzdan arka uçları, saldırgan aynı ağa yerleşebilirse trafiğin izlenmesine veya değiştirilmesine maruz kalabilir. Kriptoyla ilgili herhangi bir saldırı bildirilmedi.
Sıkça sorulan sorular
-
eMudhra’nın sekiz özel anahtarı nasıl elde edildi?
Araştırmacılar, anahtarların güçlü rastgele değerler yerine çok küçük tam sayılardan oluştuğunu söyledi. Scott Helme, sekiz anahtarın tamamını herkese açık sertifikalardan bir saniyeden kısa sürede elde ettiğini belirtti.
-
Saldırganlar ele geçirilen sertifika anahtarlarıyla ne yapabilir?
Anahtarlar, gerçek görünen sertifikalar üretmek ve güvenilir web sitelerini taklit etmek için kullanılabilir. Bu da kullanıcı verilerinin izlenmesine veya değiştirilmesine olanak tanıyabilir.
-
Sertifikaları hangi tarayıcı üreticileri engelledi?
Mozilla ve Chrome 17 Ekim’de, Apple 19 Ekim’de, Microsoft ise 20 Ekim’de sertifikaları engelledi. eMudhra da sertifikaları iptal etti.
-
Sertifikalar iptal edildikten sonra bazı yazılımlar neden hâlâ savunmasız olabilir?
Bazı programlar bir sertifikanın iptal edilip edilmediğini kontrol etmiyor. Bu nedenle sertifikaları iptal etmek, söz konusu uygulamaların sahte bir sertifikayı kabul etmesini engellemeyebilir.
-
Bu olay kripto alım satım sistemleri açısından ne anlama geliyor?
Etkilenen yazılımları kullanan borsa botları, alım satım betikleri ve cüzdan arka uçları, bir saldırgan ağ trafiğini araya girerek yakalayabilirse risk altında olabilir. Kripto saldırısı bildirilmedi.
CryptoSlate
WuBlockchain
Lookonchain
Crypto News
Altcoin Daily
Crypto Rank News