Bazı Google Chrome kullanıcıları, Chrome 124'ten sonra geçen hafta yeni kuantum dirençli X25519KYBER768 kapsülleme mekanizması ile verilen Web sitelerine, sunuculara ve güvenlik duvarlarına bağlanan sorunların olduğunu bildiriyor.
Google, Ağustos ayında quantum sonrası güvenli TLS anahtar kapsülleme mekanizmasını test etmeye başladı ve şimdi tüm kullanıcılar için en son Chrome sürümünde etkinleştirdi.
Yeni sürüm, TLS 1.3 için KYBER768 Kuantum Direktif Anahtar Sözleşmesi Algoritmasını ve krom TLS trafiğini kuantum kriptanalize karşı korumak için QuiC bağlantılarını kullanıyor.
Chrome Güvenlik Ekibi, "Uyumluluk ve performans etkileri için birkaç ay süren deneylerden sonra, Chrome 124'teki masaüstü platformlarına hibrit bir postquantum TLS anahtar değişimi başlatıyoruz."
"Bu, kullanıcıların trafiğini, gelecekteki bir kuantum bilgisayarın bugün kaydedilen şifreli trafiği şifresini çözebileceği 'mağaza şimdi daha sonra şifresini çöz' saldırılarından koruyor."
Şimdi depolayın, daha sonraki saldırılar, saldırganların şifreli veri topladığı ve kuantum bilgisayarların kullanılması veya şifreleme anahtarlarının kullanıma sunulması gibi yeni şifre çözme yöntemleri olabileceği zaman gelecek için depolandığı zamandır.
Gelecekteki saldırılara karşı korumak için şirketler, bu tür şifre çözme stratejilerinin gelecekte çalışmasını önlemek için ağ yığınlarına kuantum dayanıklı şifreleme eklemeye başladılar. Kuantum'a dayanıklı algoritmaları zaten tanıtmış olan bazı şirketler arasında Apple, Signal ve Google yer alıyor.
Bununla birlikte, Sistem yöneticileri Google Chrome 124 ve Microsoft Edge 124 geçen hafta masaüstü platformlarında piyasaya sürülmeye başladığından beri çevrimiçi olarak paylaşıldıkça, bazı web uygulamaları, güvenlik duvarları ve sunucular ClientHello TLS el sıkışmasından sonra bağlantılar bırakacak.
Sorun aynı zamanda güvenlik cihazlarını, güvenlik duvarlarını, ağ ara katman yazılımlarını ve birden fazla satıcıdan (örneğin Fortinet, Sonicwall, Palo Alto Networks, AWS) çeşitli ağ cihazlarını da etkiler.
Bir yönetici, "Bu, istemci merhaba mesajındaki ekstra verilerle ne yapacağını bilmeyen sunucular için TLS el sıkışmasını kırıyor gibi görünüyor." Dedi.
Başka bir yönetici, "Burada aynı sorun Edge'in 124 sürümünden bu yana, Palo Alto'mun SSL şifrelemesiyle yanlış gidiyor gibi görünüyor." Dedi.
Bu hatalara Google Chrome'daki bir hata neden olmaz, bunun yerine Web sunucularının Aktarım Katmanı Güvenliği'ni (TLS) düzgün bir şekilde uygulamaması ve quantum sonrası kriptografi için daha büyük ClientHello mesajlarını ele alamamasından kaynaklanır.
Bu, x25519kyber768'i desteklemiyorlarsa klasik şifrelemeye geçmek yerine Kyber768 kuantum dirençli anahtar anlaşma algoritmasını kullanan bağlantıları reddetmelerine neden olur.
TLDR.Fail adlı bir web sitesi, geliştiricilerin hatayı nasıl düzeltebileceğine dair ayrıntılarla, buggy Web sunucularındaki bağlantıları nasıl kırabileceği hakkında ek bilgileri paylaşmak için oluşturuldu.
Web sitesi yöneticileri, Chrome: // Flags/#ENABLE-TLS13-KYBER bayrağını kullanarak Google Chrome 124'teki özelliği manuel olarak etkinleştirerek kendi sunucularını test edebilir. Etkinleştirildikten sonra, yöneticiler sunucularına bağlanabilir ve bağlantının "err_connection_reset" hatasına neden olup olmadığını görebilir.
Etkilenen Google Chrome kullanıcıları Chrome: // Flags/#ENABLE-TLS13-KYBER'a giderek ve Chrome'da TLS 1.3 hibridize Kyber desteğini devre dışı bırakarak sorunu azaltabilir.
Yöneticiler ayrıca, quantumKeyAgreementEnabled Enterprise ilkesini yazılım> Politikalar> Google> Chrome kapsamında veya ağlarında quantum sonrası olmayan sunucular veya orta kutular için bir güncelleme almak için satıcılarla iletişim kurarak devre dışı bırakabilir.
Microsoft ayrıca bu özelliğin Edge Grup politikaları aracılığıyla nasıl kontrol edileceği hakkında bilgi yayınladı.
Bununla birlikte, TLS'de uzun vadeli, quantum sonrası güvenli şifrelerin gerekli olacağını ve devre dışı bırakılmasına izin veren Chrome Enterprise politikasının gelecekte kaldırılacağını belirtmek önemlidir.
Google, "TLS'yi doğru bir şekilde uygulamayan cihazlar, yeni seçenek sunulduğunda arızalanabilir. Örneğin, tanınmayan seçeneklerin veya ortaya çıkan daha büyük mesajların yanıtını kesebilirler."
"Bu politika geçici bir önlemdir ve Google Chrome'un gelecekteki sürümlerinde kaldırılacaktır. Sorunları test etmenize izin verilebilir ve sorunlar çözülürken devre dışı bırakılabilir."
Chrome Enterprise premium güvenlik alır ancak bunun için ödeme yapmanız gerekir
Google, PWN2OWN'da bir Chrome Sıfır Gününü Daha Sömürüldü
Yeni Chrome özelliği, bilgisayar korsanlarının çalınan çerezleri kullanmasını engellemeyi amaçlıyor
Google, PWN2OWN 2024'te sömürülen krom sıfır günlerini düzeltiyor
Microsoft, hatalı yanlış Bitlocker şifreleme hatalarının arkasındaki hatayı düzeltiyor
Kaynak: Bleeping Computer