eMudhra sertifika açığı: 8 sertifika engellendi ama kripto botları risk altında

Hindistan merkezli sertifika yetkilisi eMudhra'nın sertifikalarındaki güvenlik açığı nedeniyle kripto ticaret botlarının ve borsa uygulamalarının hâlâ risk altında olabileceği uyarısı geldi. Google, Apple(AAPL) ve Microsoft(MSFT) sorunlu sertifikaları engellemiş olsa da, bu adımın tarayıcı dışında çalışan yazılımları koruyamayabileceği belirtiliyor.

Blockchain güvenlik şirketi CertiK'in dijital varlık güvenliğinden sorumlu kıdemli direktörü Peiyu Wang(Peiyu Wang), bu değerlendirmeyi Cointelegraph'a yaptığı açıklamada dile getirdi. Büyük teknoloji şirketleri 20'sinde (yerel saatle) eMudhra tarafından verilen güvenlik açığı bulunan 8 sertifikayı engelledi. Wang'a göre bu adım tek başına, farklı güvenlik altyapısı kullanan kripto uygulamalarını korumaya yetmeyebilir.

Wang, "büyük tarayıcıların engellemesi, bunu alıp uygulayan istemcilerin riskini önemli ölçüde azaltıyor" dedi. Sözlerine şöyle devam etti: "tarayıcı ekosisteminin dışındaki bazı uygulamalar 'sertifika şeffaflığını' (Certificate Transparency) zorunlu kılmıyor ya da aynı iptal korumasından yararlanamıyor." Sertifika şeffaflığı, verilen sertifikaların kamuya açık kayıtlarla karşılaştırılarak doğrulanmasını sağlayan bir sistem. Yani ticaret botları ya da borsa uygulamaları gibi tarayıcıdan bağımsız çalışan yazılımlar, bu engellemenin koruması dışında kalabiliyor.

Wang, kripto varlık hizmetlerinin bu açığa diğer sektörlere kıyasla doğası gereği daha zayıf olmadığını vurguladı. Ancak bir saldırganın ele geçirilmiş sertifikayı kötüye kullanması durumunda, borsaların, cüzdan arayüzlerinin ve API'lerin kullandığı HTTPS bağlantılarının taklit edilebileceğini açıkladı. HTTPS, kullanıcı ile hizmet arasındaki iletişimi şifreleyen ve bağlanılan tarafın gerçek olduğunu doğrulayan bir yöntem.

Wang'ın işaret ettiği somut riskler şunlar: 'yatırma adreslerinin değiştirilmesi' ve 'kullanıcıların kötü amaçlı işlemleri onaylamaya yönlendirilmesi'. Bu tür saldırıların gerçekleşmesi için kullanıcının internet trafiğinin ele geçirilmesi veya başka bir yöne yönlendirilmesi gerekiyor. Wang, ele geçirilen sertifika yetkilisi anahtarının tek başına cüzdan özel anahtarlarını açığa çıkarmadığını belirtti.

Bu gelişme, eMudhra tarafından verilen 8 TLS sertifikasının özel anahtar gücünün zayıf olduğu ve web sitesi taklit riski oluşturduğu yönündeki haberlerle başladı. Özel anahtar, dijital sertifika tabanlı elektronik imza sisteminde imzanın güvenilirliğini sağlayan temel bilgi niteliğinde. Ardından CoinDesk 21'inde eMudhra'nın 8 gizli anahtarının ele geçirildiğini ve tarayıcı ile yazılım şirketlerinin düzeltme çalışmalarını hızlandırdığını bildirdi.

CertiK, büyük teknoloji şirketlerinin engelleme adımlarıyla tarayıcı üzerinden erişim riskinin azaldığını değerlendirdi. Wang, kripto varlık şirketlerine yazılımlarını ve sertifika güven depolarını güncel tutmalarını, kendi uygulamalarının etkilenen sertifikaları gerçekten reddettiğini doğrulamalarını tavsiye etti.