Windows 11 sistemlerinde kullanılan BitLocker için yeni bir güvenlik riski daha gündeme geldi. Güvenlik araştırmacıları, daha önce Microsoft tarafından kapatıldığı düşünülen bir “BitLocker downgrade attack” yönteminin halen çalışabildiğini ortaya koydu.
Sorunun temelinde ise eski PCA 2011 imzalama sertifikalarının hala birçok sistemde güvenilir kabul edilmesi yatıyor.
Microsoft 2025’te Yama Yayınlamıştı
Microsoft, Temmuz 2025’te yayınladığı güvenlik güncellemeleriyle CVE-2025-48804 numaralı BitLocker güvenlik açığını kapatmayı hedeflemişti. Bu açık, saldırganların Windows Recovery Environment (WinRE) üzerinden BitLocker anahtarlarına erişebilmesine olanak tanıyordu.
Ağustos 2025’te yayımlanan “BitUnlocker” teknik analizinde ise saldırının çalışma mantığı detaylı şekilde açıklanmıştı. Araştırmacılar, WinRE ortamı kullanılarak BitLocker ile korunan sürücülerden gizli bilgilerin çıkarılabileceğini göstermişti.
Yeni Bulgular: Eski Boot Manager Hala Çalıştırılabiliyor
Intrinsec araştırmacıları tarafından yayımlanan yeni analiz, Temmuz 2025 yamalarının tek başına yeterli olmadığını ortaya koyuyor.
Saldırı zinciri şu şekilde çalışıyor:
- Sistem açılışında kullanılan boot manager, SDI dosyası içerisindeki ilk WIM imajını doğruluyor.
- Ancak saldırgan aynı SDI içerisine ikinci ve manipüle edilmiş bir WIM dosyası ekleyebiliyor.
- Boot manager ilk dosyayı doğrulasa bile sistem aslında saldırganın hazırladığı ikinci WinRE imajı üzerinden açılıyor.
- Bu özel WinRE imajı içerisine yerleştirilen cmd.exe sayesinde şifre çözülmüş BitLocker bölümüne erişim sağlanabiliyor.
Araştırmacılara göre kritik problem, Secure Boot mekanizmasının dosyanın sürümünü değil yalnızca imza sertifikasını doğrulaması.
Yani Temmuz 2025 öncesine ait savunmasız bootmgfw.efi dosyası, eski PCA 2011 sertifikasıyla imzalı olduğu için hâlâ güvenilir kabul ediliyor.
PCA 2011 Sertifikası En Büyük Risk
Microsoft’un eski PCA 2011 sertifikasını tüm sistemlerden kaldırmamasının temel nedeni operasyonel riskler olarak değerlendiriliyor. Çünkü bu sertifika hâlâ çok sayıda mevcut Windows kurulumunda Secure Boot veritabanında bulunuyor.
Bu nedenle:
- Eski ve savunmasız boot manager dosyaları çalıştırılabiliyor.
- Secure Boot herhangi bir uyarı üretmiyor.
- Saldırgan fiziksel erişim elde ettiğinde BitLocker korumasını aşma ihtimali oluşuyor.
Araştırmacılar, sistemlerin tam anlamıyla korunabilmesi için:
- Yeni PCA 2023 sertifikasının yüklenmiş olması,
- Eski PCA 2011 sertifikasının Secure Boot veritabanından kaldırılması
gerektiğini belirtiyor.
Risk Seviyesi Ne Kadar Kritik?
Uzmanlara göre saldırının gerçekleştirilebilmesi için saldırganın cihaza fiziksel erişim sağlaması gerekiyor. Bu nedenle tehdit seviyesi birçok kurum için “yüksek operasyonel risk” kategorisinde değerlendirilmiyor.
Ancak özellikle:
- Dizüstü bilgisayar kullanan mobil çalışanlar,
- Kritik veriye sahip kurum cihazları,
- Fiziksel güvenliği zayıf ortamlar
için ek önlem alınması öneriliyor. Özellikle BitLocker kullanan kurumların Secure Boot sertifika yapılarını gözden geçirmesi ve PCA 2011 sertifikasının durumunu kontrol etmesi tavsiye ediliyor.
