Editör: Enver Adıgüzel
Büyük teknoloji şirketleri, saldırganların meşru web sitelerini taklit etmesine olanak tanıyabilecek sekiz savunmasız dijital sertifikaya karşı acil engelleme önlemleri devreye aldı. Tarayıcı geliştiricileri ve diğer büyük teknoloji şirketleri, Hindistan merkezli sertifika yetkilisi eMudhra Limited’in verdiği sekiz ara sertifikaya karşı salı gününe kadar koruma uyguladı. Sertifikaların özel anahtarlarının yeterince güvenli olmadığının ortaya çıkmasının ardından bu adım atıldı.
Mozilla’nın tespitleri
Mozilla kriptografi mühendisi Dennis Jackson, bir olay raporunda, Mozilla’nın açığa ilk kez cumartesi günü bildirim aldığında özel anahtarları bağımsız olarak kurtardığını yazdı. Jackson, anahtar üretim sürecinin “kusurlu” olduğunu ve “istismar etmesinin çok kolay” olduğunu doğruladı.
Mozilla’ya göre, bir kullanıcının bağlantısını ele geçiren bir saldırgan, sahte sertifikaları kullanarak meşru bir web sitesini taklit edebilir ve alışverişe giren bilgileri okuyabilir ya da değiştirebilir. Birçok şirket etkilenen sertifikaları hızla engellese de, bu engellemeleri otomatik almayan uygulamalar ve sistemler için tehdit sürüyor.
Şirketlerin yanıtı
Mozilla Firefox güvenlik ekibi, salı günkü blog yazısında raporu cumartesi günü aldığını ve etkilenen sertifikaları aynı gün OneCRL aracılığıyla Firefox’ta engellediğini açıkladı. Ardından masaüstü ve Android sürümleri için güncelleme yayımladı.
Cloudflare ise raporu pazartesi günü fark ettiğini, salı günü Cloudflare One, WARP İstemcileri ve Cloudflare Tunnel için güncellemeleri yayımladığını bildirdi. Jackson, sertifikaların Chrome’da cumartesiden, Apple cihazlarda pazartesiden ve Microsoft platformlarında salıdan beri engellendiğini söyledi.
Saldırı kanıtı var mı
Jackson, Firefox, Chrome, Edge ve Safari’nin bu yolla saldırıya uğradığına dair bir kanıt bulunmadığını söyledi. Gerekçe olarak, ara sertifikalar için sertifika şeffaflık kayıtlarında Nisan 2025’ten bu yana kayıt bulunmadığını gösterdi. Jackson, tarayıcı ekosistemi dışındaki birçok istemcinin sertifika şeffaflığını uygulamadığını ve saldırganların bu istemcileri hedeflemek için kusurlu anahtar üretimini istismar edip etmediğinin bilinmediğini ekledi.
Olay, 2011’de Hollandalı sertifika yetkilisi DigiNotar’ın ele geçirilmesini ve 531 sahte SSL sertifikasının düzenlenmesini anımsatıyor. Bu sahte sertifikalar, tehdit aktörlerinin Google gibi davranıp yaklaşık 300 bin İranlı Gmail hesabını gözetlemesine imkân tanımıştı.
Kaynak: Mozilla
