Senatör Ron Wyden, Microsoft’un siber güvenlikteki ihmalkar tutumu ve işletim sistemi pazarındaki hakim konumunun ulusal güvenlik için ciddi bir tehdit oluşturduğunu belirterek, Federal Ticaret Komisyonu’nu (FTC) soruşturmaya çağırdı. Wyden, Microsoft’u “kurbanlarına itfaiye hizmetleri satan bir kundakçı” olarak nitelendirdi.
Ascension Sağlık Sistemi Saldırısı ve Kerberoasting Tehdidi
Geçen yıl yaşanan ve yaklaşık 5,6 milyon kişinin kişisel ve tıbbi bilgilerinin çalındığı fidye yazılımı saldırısı, Black Basta grubuna atfedildi. Saldırı, Microsoft’un Bing arama motorunda yapılan bir arama sonrası kötü amaçlı bağlantıya tıklanmasıyla başladı ve ardından Microsoft yazılımındaki tehlikeli derecede güvensiz varsayılan ayarlar kullanılarak ağın hassas bölümlerine erişim sağlandı. Bu süreçte Kerberos kimlik doğrulama protokolünü hedef alan Kerberoasting tekniği kullanıldı.
RC4 Şifrelemesinin Riskleri ve Microsoft’un Yanıtı
Kerberoasting saldırılarında kullanılan RC4 şifreleme algoritması, 1980’lerden kalma ve birçok kriptografik zayıflığa sahip bir teknoloji. Microsoft, RC4’ü Windows 11 24H2 ve Windows Server 2025 güncellemelerinde kaldırmayı planladığını açıkladı ancak bu süreçte müşterilerin sistemlerinin zarar görmemesi için kademeli bir geçiş stratejisi benimsedi. Şirket, RC4 kullanımını teşvik etmediğini ancak trafiğinin %0,1’inden azında kullanıldığını belirtti.
Önerilen Güvenlik Önlemleri ve Kritik Değerlendirmeler
Microsoft, Kerberoasting saldırılarına karşı ortamların güçlendirilmesi için uzun ve karmaşık parolalar, AES şifrelemesi kullanımı ve Grup Yönetilen Hizmet Hesapları (gMSA) gibi önlemler öneriyor. Ancak Wyden, Microsoft’un ayrıcalıklı hesaplarda 14 karakter zorunluluğunu getirmemesi ve RC4’ü desteklemeye devam etmesinin, müşterileri gereksiz risklere maruz bıraktığını vurguladı. SOCRadar CISO’su Ensar Şeker ise, bu durumun eski sistem desteği ile güvenli tasarım arasındaki karmaşık dengeyi ortaya koyduğunu belirtti.
Wyden’in eleştirileri, Microsoft’un daha önce de siber güvenlik açıkları nedeniyle ABD Siber Güvenlik İnceleme Kurulu tarafından sert şekilde eleştirilmesiyle paralellik gösteriyor. Şirketin pazar hakimiyeti ve hükümet kurumlarının tepkisizliği, güvenlik hatalarının sonuçlarını hafifletmiyor.