Windows 11'in Varsayılan BitLocker Koruması Kırılıyor: TPM'nin Yalnız Kalmanın Faturası
Mayıs 2026'da Nightmare-Eclipse takma adıyla bilinen bir araştırmacı YellowKey adlı bir açığı yayınladı. Açık, USB sürücüden özel FsTx klasörü kopyalayarak, Windows Kurtarma moduna girerek ve komut isteminde tam disk erişimi sağlayarak BitLocker korumasını atlatıyor. Kevin Beaumont ve Will Dormann dahil birden fazla güvenlik araştırmacısı açığın beklenildiği gibi çalıştığını doğruladı.
Windows 11'in milyonlarca makinesinde varsayılan olarak etkinleştirdiği TPM tabanlı disk şifrelemesi, fiziksel saldırılara karşı PIN olmadan kırılgan. YellowKey bu kırılganlığı ortaya koyuyor ve işletmeleri acil bir seçimle karşı karşıya bırakıyor: PIN zorunluluğu getirmek ya da veri güvenliği illüzyonuyla yaşamaya devam etmek.
YellowKey'nin Çalışma Mantığı: Transactional NTFS ve Windows Kurtarma Modunun Ele Geçirilmesi
YellowKey, Windows'un Transactional NTFS özelliğini istismar ediyor. Saldırgan, özel olarak hazırlanmış bir FsTx klasörünü USB sürücüye kopyalıyor ve hedef makineye fiziksel erişim sağladıktan sonra belirli bir tuş kombinasyonuyla Windows Kurtarma moduna giriyor. Transactional NTFS, bir bölümdeki FsTx klasörünün başka bir bölümün içeriğini değiştirebilmesini sağlayan bir dosya sistemi özelliğidir; YellowKey bu özelliği istismar ederek sistem dosyalarını manipüle ediyor.
Kurtarma moduna girildikten sonra exploit, komut istemi aracılığıyla tam disk erişimi kazanıyor. BitLocker, TPM çipinden alınan anahtarlarla şifrelenmiş diskin kilidini açıyor ama Windows 11'in varsayılan BitLocker konfigürasyonu TPM'ye güveniyor ve PIN, parola ya da başka bir ikinci faktör talep etmiyor. Saldırgan bu noktada sistem dosyalarını, kullanıcı verilerini, kimlik bilgilerini ve hassas bilgileri okuyabiliyor, değiştirebiliyor ya da kopyalayabiliyor.
Açık yalnızca PIN olmayan varsayılan konfigürasyonda çalışıyor; PIN gerektiren BitLocker ayarları saldırıyı engelliyor. Bu, açığın bir yapılandırma zayıflığı olduğunu gösteriyor: Microsoft'un kurumsal güvenlik rehberlerinde önerdiği PIN zorunluluğu varsa koruma devrede kalıyor, yoksa disk şifrelemesi fiziksel erişim karşısında yalnızca bir görüntü.
TPM Tek Başına Fiziksel Saldırılara Karşı Yeterli Değil
Windows 11, uyumlu donanımlarda BitLocker'ı varsayılan olarak etkinleştiriyor ve TPM 2.0'a dayanan bir şifreleme anahtarı yönetimi kullanıyor. TPM çipi donanım düzeyinde izolasyon sunuyor ve anahtarların yazılım katmanında çalınmasını zorlaştırıyor, uzak saldırılara ve kötü amaçlı yazılımlara karşı koruma sağlıyor. Ama fiziksel erişim söz konusu olduğunda TPM yetersiz kalıyor.
TPM tabanlı şifreleme, işletim sistemi önyüklenirken anahtarı otomatik olarak serbest bırakıyor. PIN ya da parola gibi bir ikinci faktör eklenmedikçe, makineye fiziksel erişimi olan herkes sistemi başlatıp veri çalabilir. YellowKey, makineyi normal modda başlatmak yerine Kurtarma moduna girerek ve orada FsTx manipülasyonu ile tam disk erişimi elde ediyor.
Microsoft temsilcisi açığın araştırılmakta olduğunu söyleyerek detaylı sorulara yanıt vermekten kaçındı. Bir yama tarihi verilmedi ve varsayılan konfigürasyonun ne zaman güvenli hale geleceği belirsiz. Şu anda işletmeler için tek güvenilir çözüm PIN zorunluluğu ve BIOS kilidi gibi manuel yapılandırma değişikliklerini uygulamak.
Nightmare-Eclipse'in Beş Açığı ve Gerçek Dünyada Silahlandırılan Tehditler
YellowKey, Nightmare-Eclipse'in Mayıs 2026'da yayınladığı beşinci sıfır gün açığıdır. Nisan ayının başında araştırmacı RedSun ve UnDefen adlı iki açığı yayınladı ve bu açıklar gerçek dünyadaki saldırılarda silahlandırıldı. Huntress gibi tehdit istihbarat firmaları, RedSun ve UnDefend'in aktif istismara maruz kaldığını doğruladı.
GreenPlasma, serinin dördüncü açığı olarak yayınlandı. Varsayılan Windows konfigürasyonlarında UAC onay istemi tetikliyor, yani sessiz bir istismar mümkün değil. Bu, açığın tüm savunma katmanlarını atlatamadığını gösteriyor; kullanıcı etkileşimi gerektiren bir UAC bildirimi saldırının başarısını azaltıyor.
Nightmare-Eclipse, ek exploit'lerin otomatik olarak yayınlanması için bir sistem kurduğunu iddia etti. Araştırmacı, bir güven ihlalinin ardından açıkları sızdırmaya başladığını söylemişse de bu iddiaların doğrulanması mümkün değildir. Açıkların niteliği ve sıklığı sistematik bir bilgi sızıntısına işaret ediyor.
BitLocker PIN Zorunluluğu, BIOS Kilidi ve UAC Ayarlarının Uygulanması
Bridewell tehdit istihbaratına göre YellowKey açığı BitLocker PIN zorunluluğu ve BIOS şifre kilidi ile azaltılabilir. PIN, BitLocker'ı açmak için kullanıcı kimlik doğrulaması gerektirir; TPM anahtarı serbest bırakılmadan önce doğru PIN girilmelidir. BIOS şifre kilidi yetkisiz önyükleme aygıtlarının (USB gibi) kullanılmasını engeller ve saldırganın Kurtarma moduna girmesini zorlaştırır.
Kurumsal BT ekiplerinin uygulaması gereken adımlar:
BitLocker PIN zorunluluğunu grup ilkesi ile aktif edin. Group Policy Editor (gpedit.msc) üzerinden "Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives" yoluna gidin ve "Require additional authentication at startup" ayarını etkinleştirin. "Require startup PIN with TPM" seçeneğini işaretleyin. Böylece her sistem başlatıldığında kullanıcıdan PIN talep edilir.
BIOS/UEFI düzeyinde önyükleme sırasını kilitleyin. BIOS ayarlarına erişimi şifreyle koruyun ve USB, CD/DVD ya da ağ önyüklemesini devre dışı bırakın. Yalnızca dahili disk önyüklemesine izin verin. Bu, saldırganın dış bir USB sürücüden özel FsTx klasörü yükleyerek exploit'i çalıştırmasını engeller.
UAC ayarlarını gözden geçirin ve Secure Desktop özelliğini etkin tutun. GreenPlasma gibi ayrıcalık yükseltme saldırılarına karşı UAC'yi "Always notify" düzeyine çıkarın ve kullanıcıları şüpheli UAC istemlerine karşı eğitin.
Fiziksel güvenliği sıkılaştırın. Dizüstü bilgisayarlar için Kensington kilidi kullanın, sunucu odalarına erişimi sınırlayın ve güvenlik kameralarıyla makinelere fiziksel erişimi izleyin.
Yama yönetimini hızlandırın. RedSun ve UnDefend gibi gerçek dünyada silahlandırılmış açıklar için Microsoft'un güvenlik güncellemelerini hızla uygulayın.
PIN zorunluluğu BitLocker'ın fiziksel erişim senaryolarında gerçek koruma sağlamasını mümkün kılan kritik bir yapılandırma değişikliğidir. Microsoft'un varsayılan ayarları kolaylığa öncelik veriyor ama güvenlik gereksinimleri yüksek olan ortamlarda bu kolaylık veri kaybı riski yaratıyor. YellowKey, TPM'nin tek başına yeterli olmadığını gösterdi; işletmeler PIN'siz BitLocker kullanımını kabul edilemez bir risk olarak değerlendirmelidir.
