Cloudflare, eMudhra zayıf anahtarların istismarını ve düzensiz yamalamayı izliyor

Cloudflare, eMudhra zayıf anahtar olayına ilişkin bir takip yazısı yayımladı; tüm yüksek öncelikli Cloudflare sistemlerinin yamalandığını ve zayıf anahtarların yer aldığı yaklaşık 22,000 deneme el sıkışmasının kaydedildiğini söylüyor. Ziyaretçi yamalaması düzensiz; modern tarayıcılar çoğunlukla güncellenmişken botlar, eski tarayıcılar ve gömülü tarayıcılar geride kalıyor. Cloudflare, zayıf anahtarların bağlantılarını ele geçirmek için kullanıldığına dair şu ana kadar kanıt görmedi, ancak dikkatle hedeflenmiş ele geçirmenin dışlanamayacağını belirtti.

İzlenen istismar

Cloudflare, bir sunucu veya saldırganın eMudhra'nın zayıf anahtarlarıyla imzalanmış bir sertifika sunduğunu kaydetmek için müşteri kaynak sunucusuna bakan proxy hizmeti Pingora'ya günlük kaydı ekledi. Günlük kaydı 21 Ekim'de tamamlandı. Bir hafta sonra Cloudflare yaklaşık 22,000 deneme el sıkışması görmüştü. Bunların üçte ikisi emudhra.we-have-a-problem.com gibi test sitelerinin getirilmesiydi. Geri kalanların neredeyse tamamı, zayıf ara sertifikayı kullanarak kendileri için bir sertifika kuran kaynak sunuculara gitti. Cloudflare yamaladığı için doğrulayan her el sıkışma reddedildi.

Yaklaşık 160 el sıkışma dikkat çekti çünkü sertifikaların Subject Alternative Names alanları, el sıkışmada istenen Server Name Indication ile ilgisiz başka kuruluşların alan adlarını içeriyordu. Cloudflare, bu sahte sertifikaların anahtarlar sızdıktan sonra üretildiğini ve bazılarının iki yıldan uzun süre geçerli olduğunu, bunun herhangi bir genel CA'nın verebileceğinden daha uzun olduğunu söyledi. Bunlar Cloudflare bağlantılarını ele geçirmeye yönelik bir girişimden ziyade sunucuların kendi varsayılan sertifikaları gibi görünüyordu ve ana bilgisayar adı doğrulamasından geçemezdi. Bir tanesi 20 Ekim 18:19 UTC tarihliydi; Mozilla'nın hata raporu herkese açık hale getirildikten bir saatten az sonra. Cloudflare, bunun dikkatle hedeflenmiş ele geçirmeyi dışlamadığını ancak sistem ihlaline dair olağan dolaylı sinyaller görmediğini söyledi.

Yamalama ve eMudhra yanıtı

Cloudflare, 19 Ekim'de yüksek etkili sistemleri hemen yamalamaya başladı. Pingora proxy'leri, savunmasız anahtarları reddetmek için saatler içinde yamalandı. Yapay zeka destekli bir kaynak kodu analizi dört saat içinde tamamlandı. Yazının hazırlandığı sırada tüm yüksek öncelikli Cloudflare sistemleri yamalanmıştı ve doğrulanmış az sayıda düşük etkili talep üzerinde çalışılıyordu. Cloudflare, eMudhra'nın genel CA işinden çıktığını ve bir anahtar üretim betiği hatası olduğunu iddia ettiğini, ancak betiği paylaşmadığını söyledi. Cloudflare, denetçilerin ve çapraz imzalayıcıların rolü dahil olmak üzere açıklığa kavuşturulması gereken çok şey olduğunu söyledi.

Ziyaretçi yoklama sonuçları

Cloudflare, bağlantıları bozmadan ziyaretçilerin hâlâ zayıf anahtarları güvenip güvenmediğini yoklamak için challenge sayfaları kullandı. Son haftada 50 milyon yoklamayla güncel modern tarayıcıların çoğunlukla yamalandığını, ancak botların ve eski tarayıcıların yamalanmadığını söyledi. Android WebView gibi gömülü tarayıcılar geride kalıyor; yüzde 30 ila 40'ı hâlâ kabul ediyor. Büyük ağlarda yoklamaların yarısından fazlası hâlâ ele geçirilmiş zinciri kabul etti; bu, bot sinyali tespit edilen ve edilmeyen trafiği kapsıyor. Cloudflare, trafiğin doğrulanmamış botlar tarafından güçlü biçimde çarpıtıldığını ve yalnızca JavaScript çalıştıran istemcilerin yoklama gönderdiğini, bu yüzden kanıtın yönlendirici olduğunu, kesin olmadığını söyledi. İlk hafta sonunda bir miktar yamalama gördüğünü, ancak sonrasında az hareket olduğunu belirtti.

Cloudflare'ın önerisi yamalamaktır. Dennis Jackson'ın talimatlarını içeren kitlesel kaynaklı bir web sitesine, özellikle macOS geliştiricileri için, ve WARP veya Tunnel kullanan Cloudflare müşterileri için daha önceki blog yazısına işaret etti. Cloudflare ayrıca bazı ürünlerinde hızlı iptal mekanizması olduğunu ve bir güven deposunu kök sertifika yetkililerinin statik listesi yerine iptal ve sertifika şeffaflığı bilgisiyle hızlıca güncellenebilen bir şey olarak ele alan upki ile ilgilendiğini söyledi.

Önceki haberler: eMudhra, zayıf ara anahtarlar sonrası küresel TLS sertifika işinden çıkıyor · Sekiz eMudhra CA özel anahtarı ele geçirildi, acil tarayıcı engellemelerini tetikledi

Kaynaklar: Cloudflare