Chrome OS’ta Kritik Bir Güvenlik Açığı Olduğu Açıklandı

Google, Chrome OS’nin “yerleşik güvenlik anahtarı” özelliğinde geçtiğimiz aylarda bir güvenlik açığı tespit etti. Chrome OS’nin yerleşik güvenlik …

Yazılım
12 Nisan 2022
0
59 kez görüntülendi.

Chrome OS’ta Kritik Bir Güvenlik Açığı Olduğu Açıklandı

REKLAM ALANI

Google, Chrome OS’nin “yerleşik güvenlik anahtarı” özelliğinde geçtiğimiz aylarda bir güvenlik açığı tespit etti. Chrome OS’nin yerleşik güvenlik anahtarı, kullanıcıların bir internet sitesine üye olurken ya da giriş yaparken kullanılabiliyor. Yerleşik güvenlik anahtarı ile birlikte kullanıcılar bilgisayarın power tuşuna basarak klasik bir usb ya da bluetooth aygıtını bağlar üzere sitelere üye olabiliyor ya da siteye kendi bilgileri ile girebiliyor.

Google, H1 yonga eserini kullanan Chromebook’larda yerleşik güvenlik anahtarı kullanımında bir güvenlik açığını buldu. Google’ın mühendisleri, H1 çipinin birtakım şifreleme imzalarının uzunluğunu yanlış biçimde kestiğini ve şifrelerin kırılmasını kolaylaştırdığını keşfetti. Google, hususla ilgili şu açıklamayı yaptı:

YAZI ARASI REKLAM ALANI

“H1 güvenlik yongasının yazılımında ECDSA imzası oluşturma ile ilgili bir güvenlik açığı olduğunu keşfettik. Yazılım kodu, kritik bir kapalı bedeli kriptografik donanım bloğuna geçirirken uyumsuz transfer talimatlarını kullandı, bu da belli bir yapının bâtın bedellerinin üretilmesine ve zımnî pahada kıymetli bir kayba neden oldu(256 bit yerine 64 bit). Bilinmeyen pahanın yanlış oluşturulmasının, pahanın yine yaratılmasına sebep olduğunu ve ECC anahtarının bu biçimde elde edilmesine izin verdiğini doğruladık. Bu nedenle, tek bir imza çiftine ve imzalanmış datalara sahip olan saldırganlar, özel anahtarı aktif bir biçimde hesaplayarak kelam konusu anahtar çiftini kullanan tüm fonksiyonları yahut protokolleri kırabilir.”

Google, bu açıklama ile birlikte “tek bir çift imza ya da imzalanmış veri” ele geçiren saldırganların, kullanıcının Chrome OS aygıtına erişmeden kullanıcının güvenlik anahtarını taklit edebileceğini söylüyor.

Google birebir açıklamanın devamında, “HTTPS irtibatlarından çoklukla geçileceğinden, güvenlik açığı bulunan imzaların yaygın bir biçimde açığa çıkmasını beklemiyoruz. Lakin buna karşın çift imzaların hiçbir yerde kaydedilmediğini varsaymak yetersiz olacaktır.” dedi.

H1 yongasında bulunan bu güvenlik açığı ile üçüncü taraflar imzaları elde etmiş olsa bile klasik iki faktörlü kimlik doğrulamanın yalnızca ikinci kısmını aşabiliyorlar. Birinci faktörü aşmak için hala kullanıcının şifresinin bilinmesi gerekiyor.

Google, Chromebook kullanıcılarının güvenlik açığından büsbütün kurtulması için kimi adımlar yayınladı. Google’ın yayınladığı adımlar şöyle:

H1 yongası için bir düzeltme almak üzere cihazı Chrome OS 75 yahut sonraki sürümüne güncelleyin. 0.31 ve daha evvelki bir sürümdeki H1 eser yazılımı sürümleri bu güvenlik açığını içerir. 0.3.15 ve sonraki sürümler bu açık için savunma içeriyor.
Chrome OS yerleşik güvenlik anahtarı özelliği ile oluşturulan bir güvenlik anahtarı ile kaydettiğiniz internet sitelerinin listesini çıkarın.
Tüm bu sitelerden Chrome OS yerleşik güvenlik anahtarı kaydını kaldırın. Kayıtlı güvenlik anahtarını “hesap ayarları” ya da “güvenlik ayarları” kısmından kaldırabilirsiniz.
Hesabınıza kuşkulu bir giriş olup olmadığını anlamak için hesabınıza yapılan son girişleri inceleyin.
Eğer “Dahil güvenlik anahtarı sıfırlama gerektiriyor” bildiri alırsanız “sıfırlama” seçeneğini tıklayın.

Güvenlik açığından etkilenen Chromebook modelleri

Google, güvenlik açığından yalnızca H1 yongası bulunan Chromebook’ların etkilendiğini açıkladı. Chromebook’unuzda H1 çipi bulunmasına karşın “yerleşik güvenlik anahtarı”nı kullanmadıysanız tehditten etkinlenmezsiniz.

H1 yongası nedeniyle güvenlik açığından etkilenen Chromebook modellerinin listesi şöyle: