eMudhra, sekiz bitlik CA anahtar entropisi açıklamasının ardından küresel TLS sertifika işinden çekiliyor

eMudhra küresel TLS işinden ayrılıyor

Sertifika otoritesi eMudhra, şirketin basın duyurusunu gün yüzüne çıkaran ve geniş paylaşılan bir dev.to gönderisine göre küresel SSL/TLS sertifika işinden çekiliyor. Duyuru, eMudhra'nın sertifika otoritesi anahtarlarının yalnızca sekiz bit entropiye sahip olduğunun ayrı bir açıklamada ortaya çıkmasından tam bir gün sonra geldi. Gönderiye göre basın duyurusu Hacker News'in zirvesine ulaştı ve 915 puan ile 623 yorum topladı.

Gönderi bu iki olayı farklı türden başarısızlıklar olarak çerçeveliyor. Zayıf bir anahtar bir güvenlik olayıdır. Bir satıcının işten çekilmesi ise bir migrasyon projesidir; üstelik son tarihi müşterileri değil, ayrılan şirket tarafından belirlenir: tarayıcıların kök sertifikayı kaldırma takvimleri, sertifika sona erme tarihleri ve uyumluluk süreleri, aşağı doğru akan hiç kimsenin seçmediği bir basın duyurusundan itibaren geri saymaya başlar. Bağlam için: sekiz bit entropi, anahtarın yalnızca 256 olasılıklık bir uzaydan seçildiği anlamına gelir; bu, neredeyse anında brute-force edilebilecek kadar küçüktür.

Mevcut sertifikalar geçerli kalıyor

Gönderinin işaret ettiği gibi, işten ayrılmak hiçbir şeyi iptal etmez. Daha önce verilmiş sertifikalar geçerliliğini korur, ara sertifikalar etkin kalır ve eski kök sertifikaya güvenen her istemci zinciri kabul etmeye devam eder. İptal edilmiş bir sertifika en azından bir sinyal üretir; bir satıcının ayrılışıyla sahipsiz kalan sertifikaların arkasında hesap verecek kimse kalmaz.

Sonuç bölünmüş bir zaman çizelgesidir. Tarayıcılar kök sertifikayı kök programı takvimine göre düşürür; ancak curl, Python, Node, Go, Java, git, IoT filoları ve yıllar önce oluşturulmuş container imajları kendi trust bundle'larını taşır ve varsayılan olarak hiçbir şey kontrol etmez. Kurumun altyapısının bir kısmı düzeltmeyi tarayıcı takvimine göre alır; geri kalanı ise eski zincire süresiz ve sessizce güvenmeye devam eder.

Gönderi daha sessiz bir soruna daha dikkat çekiyor: karşı taraf gittiğinde due diligence biter. Denetim izi bir arşive dönüşür ve işaret edilebilecek tek belgeleme, duyurudan önce yapılmış olandır.

Bir anchor'ı değiştirmek bir dağıtım problemidir

Sunucu sertifikası döndürmek bir deployment işlemidir. Bir trust anchor'ı değiştirmek ise ona karşı geliştirilmiş her istemciye ulaşmak anlamına gelir; yamalanamayacak istemciler dahil: firmware, kiosk cihazları, gömülü sistemler, müşteri tarafındaki agent'lar ve bir parmak izini hard-code eden partner entegrasyonları. Cross-signing durumu daha da karmaşıklaştırır; çünkü yedek bir anchor çoğu zaman hâlâ eskisini içeren bir zincir üzerinden gelir ve geçiş sırasında güven, hem yaşayan hem de ayrılmış bir satıcıya dayanır.

Gerçek maliyet zaman çizelgesidir. Gönderiye göre tespit saatler, iptal günler, yıllar boyunca dağıtılmış bir filoda anchor değiştirmek ise çeyrek dönemler alır; müşterilerin deneyimlediği sayı da sonuncusudur. Rotasyon işi hiçbir özellik ve görünür bir metrik üretmediği için, genellikle bir kesinti sırasında gerçekleşene kadar ertelenir.

Gönderinin önerileri

• Hizmetleri değil trust anchor'ları envanterleyin: her birini kim çıkarıyor, ne zaman sona eriyor, yenilemenin sahibi kim, yarın kaybolursa ne bozulur ve kaç istemci yeni bundle'a ihtiyaç duyar.

• Çiften güveni önceden hazırlayın: geçiş gerekmeden önce hem mevcut hem de sonraki anchor'ı kabul eden istemciler dağıtın; böylece rotasyon bir acil durum yerine bir yapılandırma değişikliğine dönüşür.

• Satıcı sürekliliğini tarihli bir bağımlılık olarak ele alın: kök programı kaldırmaları, tarayıcı güven kaybı tarihleri ve destek sonları, geriye doğru planlanacak takvim olaylarıdır.

• Sürecin önemli olduğu anda sınanması için düzenli bir takvimde rotasyon yapın.

• Satıcı ayrılırken kullanılacak bir runbook tutun: karşı taraf ayrılmadan önce, yeni zinciri kimin imzalayacağını, müşteri iletişimini kimin yürüteceğini ve ara dönem hafifletmeyi kapsayacak şekilde yazın.

• Yalnızca tespit süresini değil, rotasyon süresini de ölçün.

Neden önemli

Aynı dev.to gönderisi, Hacker News ana sayfasındaki paralel bir habere işaret ediyor: gizlilik odaklı DNS çözümleyicisi Quad9 Fransa'dan çekiliyor; bu başlık 977 puan aldı. Farklı hizmet, aynı biçim. Bir bağımlılık bir iş ya da hukuk kararı aldı ve aşağı doğru akan her kullanıcı, hiç planlamadığı bir migrasyonu miras aldı.

eMudhra tarafından verilmiş sertifikalara sahip kurumlar için acil iş envanter ve rotasyon planlamasıdır. Diğer herkes için ders yapısaldır: her sertifika güven kararı, karşı tarafın hâlâ var olacağı, hâlâ yetkin olacağı ve hâlâ aynı işle ilgileneceği yönünde — başkasının belirlediği bir vadede — bir bahistir. Sertifika satın almak, sertifikasyonu bir satıcıya devreder; o satıcının ayrılmasının maliyeti sizde kalır.