Pazartesi günü biri bir not paylaştı, imza "Wayne". "Burada bir sorun var." Wayne, bu notu Hindistan'da bir sertifika yetkisi olan @eMudhra'ya ait bir özel anahtarla imzalamıştı. Bu anahtar, tarayıcınızın güvenmesi için oluşturulmuş sekiz ara sertifika arasında birinin ardında yer alıyor. Bu anahtara sahip olmak, internetteki herhangi bir sitenin geçerli bir sertifikasını üretmenizi sağlar. Bankanızın giriş sayfası dahil. Peki Wayne bunu nasıl elde etti? Çoğu kişi bir sızıntı olduğunu varsaydı. Belki bir dahili kişi ya da casus ajansı. Ama o hiçbir şey çalmadı. Anahtarlar tahmin edilebilirdi. Normal bir P-384 anahtarının yaklaşık 384 bit rastgelelik içerdiğini varsayalım. Bu, 116 basamaklı bir sayıdır ve kimse bunu tahmin etmez. @eMudhra'nın anahtarları ise 3 ila 8 bit aralığında idi. Bir özel anahtar kelimenin tamamı "4" sayısıydı. Başka biri 56, en büyüğü ise 237 idi. Bir dizüstü bilgisayar, bu cümlenin sonuna kadar ulaşmadan tüm sekiz anahtarı kırabilir. Go için kripto kodlarını bakım yapan Filippo Valsorda, bunu "bu mümkün olmamalı" kategorisine koydu. https://t.co/Rg3ue0zZqK'nin Ben Cartwright-Cox'u, örnek kodun üretim ortamına karıştığını ve kimse bunu fark etmediğini düşünüyor. Bu nedenle tarayıcı üreticileri hızla harekete geçti. Pazartesi öğleden sonra itibarıyla, tüm sekiz sertifikayı ve bazı büyük uygulamaları ile programlama dillerini engellediler. Sertifika şeffaflığı kayıtlarında, bu anahtarların kötüye kullanıldığına dair hiçbir iz bulunmamaktadır. Kriz mi bitti? Hiç de değil. Tarayıcı kısmı kolaydı. Valsorda, bu temizliğin 2014 OpenSSL hatası olan #Heartbleed'ten daha büyük olacağını söylüyor. Sorun, kendi güvenilir köklerini taşıyan ve asla güncelleme yapmayan her şeyde: IoT cihazlar, Docker konteynerleri, unutulmuş Linux sunucuları, eski CLI araçları. Bazı Linux dağıtımları henüz düzeltmeleri hazırlamamıştı. Ars yayınladığında Windows 10'daki Edge hâlâ 12 savunmasız ana makineye bağlanıyordu. Saldırganlar için bir engel var: Kötü bir sertifika yalnızca birinin bağlantısının ortasında oturup trafiğini şifreleyip tekrar şifrelediğinde faydalı olur. Bu, açık internet üzerinde zordur. Kahve dükkanının Wi-Fi'sinde ya da zaten VPN trafiğini dinleyen bir ülkede çok daha kolaydır. Signal ve WireGuard gibi uygulamalar sorunsuzdur çünkü gizlilik için TLS'e bağlı değildir. Beni rahatsız eden şey şu: Adres çubuğunuzdaki kilit simgesi, tek bir şirketin sözü değildir. Yüzlerce şirket aynı anda söz veriyor ve bu söz, en dikkatsiz olanın kalitesi kadar güçlüdür. Pazartesi günü, en dikkatsiz olanın anahtarı "4" idi. Wayne herkese söyledi. Bir sonraki kişi belki söylemeyecek. https://t.co/vSK9GTDYLa