Google, Chrome OS’nin “yerleşik guvenlik anahtarı” ozelliğinde gectiğimiz aylarda bir guvenlik acığı tespit etti. Chrome OS’nin yerleşik guvenlik anahtarı, kullanıcıların bir internet sitesine uye olurken ya da giriş yaparken kullanılabiliyor. Yerleşik guvenlik anahtarı ile beraber kullanıcılar bilgisayarın power tuşuna basarak klasik bir usb ya da bluetooth cihazını bağlar gibi sitelere uye olabiliyor ya da siteye kendi bilgileri ile girebiliyor.
Google, H1 yonga urununu kullanan Chromebook’larda yerleşik guvenlik anahtarı kullanımında bir guvenlik acığını buldu. Google’ın muhendisleri, H1 cipinin bazı şifreleme imzalarının uzunluğunu yanlış şekilde kestiğini ve şifrelerin kırılmasını kolaylaştırdığını keşfetti. Google, konuyla ilgili şu acıklamayı yaptı:

“H1 guvenlik yongasının yazılımında ECDSA imzası oluşturma ile ilgili bir guvenlik acığı olduğunu keşfettik. Yazılım kodu, kritik bir gizli değeri kriptografik donanım bloğuna gecirirken uyumsuz transfer talimatlarını kullandı, bu da belirli bir yapının gizli değerlerinin uretilmesine ve gizli değerde onemli bir kayba neden oldu(256 bit yerine 64 bit). Gizli değerin yanlış oluşturulmasının, değerin yeniden yaratılmasına sebep olduğunu ve ECC anahtarının bu şekilde elde edilmesine izin verdiğini doğruladık. Bu nedenle, tek bir imza ciftine ve imzalanmış verilere sahip olan saldırganlar, ozel anahtarı etkin bir şekilde hesaplayarak soz konusu anahtar ciftini kullanan tum işlevleri veya protokolleri kırabilir.”
Google, bu acıklama ile beraber “tek bir cift imza ya da imzalanmış veri” ele geciren saldırganların, kullanıcının Chrome OS cihazına erişmeden kullanıcının guvenlik anahtarını taklit edebileceğini soyluyor.

Google aynı acıklamanın devamında, “HTTPS bağlantılarından genellikle gecileceğinden, guvenlik acığı bulunan imzaların yaygın bir şekilde acığa cıkmasını beklemiyoruz. Ancak buna rağmen cift imzaların hicbir yerde kaydedilmediğini varsaymak yetersiz olacaktır.” dedi.
H1 yongasında bulunan bu guvenlik acığı ile ucuncu taraflar imzaları elde etmiş olsa bile klasik iki faktorlu kimlik doğrulamanın sadece ikinci kısmını aşabiliyorlar. Birinci faktoru aşmak icin hala kullanıcının şifresinin bilinmesi gerekiyor.
Google, Chromebook kullanıcılarının guvenlik acığından tamamen kurtulması icin bazı adımlar yayınladı. Google’ın yayınladığı adımlar şoyle:
H1 yongası icin bir duzeltme almak uzere cihazı Chrome OS 75 veya sonraki surumune guncelleyin. 0.31 ve daha onceki bir surumdeki H1 urun yazılımı surumleri bu guvenlik acığını icerir. 0.3.15 ve sonraki surumler bu acık icin savunma iceriyor. Chrome OS yerleşik guvenlik anahtarı ozelliği ile oluşturulan bir guvenlik anahtarı ile kaydettiğiniz internet sitelerinin listesini cıkarın. Tum bu sitelerden Chrome OS yerleşik guvenlik anahtarı kaydını kaldırın. Kayıtlı guvenlik anahtarını “hesap ayarları” ya da “guvenlik ayarları” kısmından kaldırabilirsiniz. Hesabınıza şupheli bir giriş olup olmadığını anlamak icin hesabınıza yapılan son girişleri inceleyin. Eğer “Dahil guvenlik anahtarı sıfırlama gerektiriyor” bildiri alırsanız “sıfırlama” seceneğini tıklayın.

[h=2]Guvenlik acığından etkilenen Chromebook modelleri[/h] Google, guvenlik acığından sadece H1 yongası bulunan Chromebook’ların etkilendiğini acıkladı. Chromebook’unuzda H1 cipi bulunmasına rağmen “yerleşik guvenlik anahtarı”nı kullanmadıysanız tehditten etkinlenmezsiniz.
H1 yongası nedeniyle guvenlik acığından etkilenen Chromebook modellerinin listesi şoyle:
Acer Chromebook Spin 13 (CP713-1WN) Acer Chromebook 13 (CB713-1W) HP Chromebook 11 G6 EE Acer Chromebook 315 ASUS Chromebook Flip C214 ASUS Chromebook C204 Acer Chromebook 11 (C732) ASUS chromebook C403 ASUS Chromebook C223 ASUS Chromebook C523 HP Chromebook 11A G6 EE ASUS Chromebook C213NA/C213SA HP Chromebook 14 / HP Chromebook 14 G5 CTL chromebook NL7T-360 CTL chromebook NL7 CTL Chromebook NL7 LTE Acer Chromebook 15 CB315-1H / 1HT Acer Chromebook Spin 511 Acer Chromebook 311 ASUS Chromebook Flip C101PA Acer Chromebook Spin 15 CP315-1H / 1HT HP Chromebook 14 db0000-db0999 Acer Chromebook Tab 10 (D651N / D650N) CTL Chromebook Tab Tx1 ASUS Chromebook Tablet CT100 Acer Chromebook Spin 11 (R751T / CP511) Acer Chromebook 514 Google Pixelbook Dell Chromebook 3100 Dell Chromebook 3100 2in1 Chromebook Spin 311 (R721T) Chromebook 311 (C721) HP Chromebox G2 Acer Chromebook Spin 11 (CP311-1H & CP311-1HN) Lenovo 14e Chromebook HP Chromebook x360 11 G2 EE HP Chromebook 11 G7 EE Dell Chromebook 11 2-in-1 5190 Dell Chromebook 11 5190 Samsung Chromebook Plus (LTE) Samsung Chromebook Plus (V2) Pixel Slate Dell Chromebook 3400 Yoga C630 Chromebook Lenovo 300e/500e Chromebook 2nd Gen