Siber güvenlik dünyasında yapılan yeni bir araştırma, RSA anahtarlarında daha önce bilinmeyen bir zayıflık sınıfını ortaya çıkardı: çok sayıda sıfır içeren anahtarlar. Bu anahtarların internette yaygın olarak kullanıldığı tespit edildi. Badkeys adlı açık kaynaklı proje, genel anahtarları bilinen güvenlik açıklarına karşı kontrol eden bir hizmettir. Projenin geliştiricisi Hanno, Sertifika Şeffaflığı günlükleri, TLS ve SSH taramaları, PGP anahtarları gibi kaynaklardan milyonlarca gerçek dünya anahtarı topladı. Bu veri kümesinde beklenmedik derecede seyrek RSA modüllerini arayan ekip, iki farklı desende çok sayıda zayıf anahtar keşfetti.
Keşfedilen desenler, düzenli aralıklarla yerleştirilmiş sıfır blokları ve rastgele görünen verilerden oluşuyor. İlk desen, Yahoo ve Verizon gibi büyük kuruluşlara ait sertifikalarda ve NetApp yazılımı çalıştıran cihazlarda bulundu. Neyse ki bu sertifikaların süresi dolmuş durumda, ancak araştırmacılar bulgularını bu şirketlerle paylaştı. İkinci desen ise EnterpriseDT'nin CompleteFTP yazılımını çalıştıran SSH sunucularında tespit edildi. Bu güvenlik açığı, RSA anahtarları için 10.0.0-12.0.0 sürümleri (Aralık 2016-Mart 2019) ve DSA anahtarları için 10.0.0-23.0.4 sürümleri (Aralık 2016-Aralık 2023) arasında kullanılan anahtarları etkiliyor.
Bu zayıflıklar internetteki anahtarların küçük bir kısmını etkilese de, asıl önemli çıkarım, bağımsız kriptografik uygulamaların benzer şekilde başarısız olmasıdır. Bu durum, aynı hataları içeren daha fazla uygulama olabileceğini ve kriptanalitik algoritmaların bu tür başarısızlıklara göre uyarlanması gerektiğini gösteriyor. Araştırmacılar, bu keşfin siber güvenlik topluluğu için önemli dersler içerdiğini vurguluyor.
Sonuç ve Değerlendirme
Sıfır desenli anahtarların varlığı, rastgele sayı üreteçlerindeki ve anahtar oluşturma algoritmalarındaki zayıflıkları işaret ediyor. Bu tür anahtarlar, çarpanlara ayırma saldırılarına karşı savunmasız hale geliyor. Badkeys projesi, bu tür zayıflıkları tespit ederek sistem yöneticilerinin güvenlik açıklarını kapatmasına yardımcı oluyor. Araştırmacılar, özellikle eski yazılım sürümlerini kullanan kuruluşların anahtarlarını kontrol etmelerini ve güncellemelerini öneriyor.
Bu keşif, kriptografik uygulamaların test edilmesinin ve doğrulanmasının ne kadar kritik olduğunu bir kez daha gösteriyor. Bağımsız uygulamaların aynı hataları yapması, standartlaştırılmış test süreçlerinin ve güvenlik denetimlerinin önemini artırıyor. Ayrıca, açık kaynaklı araçların (Badkeys gibi) güvenlik topluluğuna sağladığı katkıyı da gözler önüne seriyor.
Siber güvenlik uzmanları, bu tür zayıf anahtarların tespiti için düzenli taramalar yapılmasını ve anahtar oluşturma süreçlerinde daha sıkı kontroller uygulanmasını tavsiye ediyor. Özellikle büyük kuruluşlar, sertifika yönetimi ve anahtar hijyeni konularında daha dikkatli olmalı. Ayrıca, kriptografik kütüphanelerin güncel ve güvenli sürümlerinin kullanılması, bu tür riskleri minimize edebilir.
Sonuç olarak, RSA anahtarlarındaki sıfır desenleri, kriptografik uygulamalardaki zayıflıkların hala ne kadar yaygın olabileceğini gösteriyor. Bu keşif, siber güvenlik camiasına, anahtar oluşturma algoritmalarının daha dikkatli tasarlanması ve test edilmesi gerektiği konusunda önemli bir uyarı niteliği taşıyor. Badkeys gibi araçların kullanımı, bu tür güvenlik açıklarının erken tespit edilmesine yardımcı olabilir.
Kaynak: schneier.com
