Hindistan merkezli dijital sertifika sağlayıcısı eMudhra’nın, internet sitelerinin kimliğini doğrulamak için kullandığı özel anahtarların inanılmaz derecede zayıf olduğu ortaya çıktı. Küresel çapta büyük bir siber güvenlik krizine yol açan olayda, tahmin edilmesi imkansız olması gereken anahtarlardan birinin sadece “4” rakamından oluştuğu belirlendi.
Dijital Sertifikalar ve Güvenlik Krizi Nasıl Başladı?
İnternet tarayıcıları, ziyaret edilen sitelerin kimliğini doğrulamak ve şifreli bağlantılar kurmak için TLS protokolünü kullanır. Bu süreçte güvenilir sertifika otoritelerinin ürettiği özel kriptografik anahtarlar hayati önem taşır. Ancak eMudhra’nın ürettiği bazı ara sertifikalara ait özel anahtarların sadece iki veya üç basamaklı sayılardan oluştuğu, hatta birinin doğrudan “4” olduğu anlaşıldı.
Bu büyük zafiyet, saldırganların güvenilir görünümlü sahte dijital sertifikalar oluşturmasına ve meşru internet sitelerini taklit etmesine zemin hazırlayabilecek bir risk barındırıyor.
Google, Mozilla, Java ve Node.js Harekete Geçti
Olayın duyulmasının ardından teknoloji devleri hızlıca önlem almaya başladı. Google ve Mozilla, etkilenen sertifikaları güvenilir listelerinden çıkaracaklarını duyururken; kriz web tarayıcılarıyla sınırlı kalmadı. Java ve Node.js gibi dünya genelinde yaygın olarak kullanılan yazılım ekosistemleri için de acil güvenlik uyarıları yayımlandı.
Oracle, 10 üzerinden 9.1 kritik risk puanına sahip bir güvenlik açığı bildirirken, Node.js geliştiricileri de sistemlerini korumak için acil güncellemeler yayımladı.
Kullanıcılar ve Şirketler Ne Yapmalı?
Siber güvenlik uzmanları, tüm internet hesaplarının doğrudan tehlikede olmadığını ancak kimlik avı ve sahte site saldırılarına karşı dikkatli olunması gerektiğini vurguluyor. Uzmanların önerileri şöyle:
- Tarayıcılarınızı ve cihazlarınızı mutlaka güncel tutun.
- İki aşamalı kimlik doğrulama (2FA) yöntemini aktif hale getirin.
- İnternet sitesi sahipleri, kullandıkları dijital sertifikaları acilen kontrol edip yenilemelidir.
- Olayı bahane ederek dolandırıcılık yapmaya çalışan sahte mesajlara karşı uyanık olun.
