Microsoft, Güvenlik Açıkları Nedeniyle RC4 Şifrelemesini Kaldırmaya Hazırlanıyor
Microsoft, uzun süredir tartışılan bir güvenlik sorununa yönelik somut bir adım atıyor. Şirket, Windows ekosisteminde yıllardır kullanılan RC4 şifreleme algoritmasını devre dışı bırakma planını netleştirdi. Gelişme, özellikle kurumsal ağlarda kimlik doğrulama süreçlerini yakından ilgilendiriyor.
Microsoft, RC4 Şifrelemesini Aşamalı Olarak Sonlandırmayı Planlıyor
RC4 algoritması, Windows 2000 döneminden bu yana Active Directory altyapısının önemli bir parçası olarak görev yaptı. Güvenlik araştırmacıları, algoritmanın yıllardır saldırılara açık olduğunu sık sık gündeme getirdi. Microsoft yönetimi, artan riskler sonrası kapsamlı bir geçiş sürecini başlatma kararı aldı.
Microsoft yetkilileri, varsayılan RC4 desteğinin 2026 yılının ortalarına doğru kapatılacağını açıkladı. Şirket, Kerberos kimlik doğrulama altyapısında daha güçlü olan AES tabanlı algoritmaları öne çıkarıyor. Windows Server 2008 ve sonrası sürümlerde Kerberos Key Distribution Center sistemi, varsayılan olarak AES-SHA1 kullanacak.
Microsoft Principal Program Manager Matthew Palko, RC4 algoritmasının geçmişte uyumluluk avantajı sunduğunu ifade etti. Palko, güncel tehdit ortamında bu avantajın güvenlik risklerini karşılamadığını vurguladı. Uzmanlar, Kerberoasting gibi saldırı yöntemlerinin RC4 kullanan sistemleri hedef aldığını hatırlatıyor.
Microsoft geliştirici ekipleri, Active Directory altyapısında yaşanabilecek uyumluluk sorunlarını en aza indirmeyi hedefliyor. Şirket, sistem yöneticileri için yeni PowerShell araçları hazırladı. Bu araçlar, RC4 kullanan kimlik doğrulama işlemlerini tespit etmeye yardımcı oluyor.
Yöneticiler, tespit edilen bağlantıları AES128-SHA96 ya da AES256-SHA96 gibi daha güvenli seçeneklere yönlendirebiliyor. Microsoft, Windows Server 2003 sürümünün bu gelişmiş şifreleme yöntemlerini tam olarak desteklemediğini hatırlatıyor.
Microsoft güvenlik ekibi, RC4 algoritmasının kaldırılmasının teknik açıdan karmaşık bir süreç olduğunu kabul ediyor. Şirket içinden yapılan açıklamalara göre geliştiriciler, yıllardır farklı Windows sürümlerine gömülü olan bu yapıyı dikkatli şekilde ele aldı. Microsoft mühendisleri, geçmişte RC4 üzerindeki kritik açıkları geçici çözümlerle kapattı. Bluesky üzerinden değerlendirme yapan Microsoft yetkilisi Steve Syfuhs, bu değişimin uzun zamandır planlandığını belirtti. Syfuhs, kurumsal müşterilerin geçiş sürecine hazırlanması gerektiğini ifade etti.
Uzmanlar, Microsoft’un kararını olumlu bir adım olarak değerlendiriyor. Demokrat Senatör Ron Wyden, RC4 kullanımını sert ifadelerle eleştirmişti. Buna rağmen sektör genelinde RC4 desteğinin bir süre daha devam etmesi bekleniyor. Güvenlik uzmanları, eski sistemler nedeniyle risklerin kısa vadede tamamen ortadan kalkmayacağını söylüyor.
