İnternet sitelerinin kimliğini doğrulayan sekiz dijital sertifikadaki güvenlik sorunu, teknoloji şirketlerini harekete geçirdi. Açık, kullanıcı bağlantısını ele geçirebilen saldırganların gerçek siteleri taklit etmesine yol açabiliyor. Sorun kriptoya özel değil.
Hindistan merkezli sertifika sağlayıcısı eMudhra'nın sekiz ara sertifikasına ait özel anahtarların güvenli olmadığı belirlendi. Mozilla ve Cloudflare, bu anahtarların saldırganların kontrol etmediği alan adları için sahte HTTPS sertifikaları üretmekte kullanılabileceğini açıkladı.
Sertifikalar, kullanıcının bağlandığı sunucunun gerçekten ilgili internet sitesine ait olduğunu doğrulamaya yardımcı oluyor. Sahte bir sertifikayı kabul eden uygulamada, bağlantının arasına girebilen saldırgan siteyi taklit ederek iletilen bilgileri okuyabiliyor veya değiştirebiliyor. Cloudflare, sorunun bağlantıyı şifreleyen algoritmalardan değil, sertifikayla kimlik doğrulama sürecinden kaynaklandığını belirtti.
ETKİLENEN SERTİFİKALAR ENGELLENDİ
Mozilla, bildirimi aldıktan sonra etkilenen sertifikaları Firefox'un merkezi iptal listesi üzerinden engelledi. Kuruluşun açıklamasına göre standart ayarları kullanan Firefox kullanıcılarına koruma üç saatten kısa sürede ulaştırıldı. Bu işlem için tarayıcının yeniden başlatılması gerekmedi.
Otomatik korumayı özel ayarları nedeniyle alamayan kullanıcılar için masaüstü ve Android sürümlerine güncellemeler de yayımlandı. Mozilla, aynı sertifika altyapısını kullanan diğer uygulamaların korunması için güvenilen sertifikalar listesinde ek değişiklik yaptığını bildirdi.
Mozilla kriptografi mühendisi Dennis Jackson'ın değerlendirmesine göre Chrome, Apple ve Microsoft platformları da etkilenen sertifikaları engelledi. Jackson, büyük tarayıcıların bu yöntemle saldırıya uğradığını gösteren kanıt bulunmadığını belirtti. Tarayıcı dışındaki uygulamalarda açığın kullanılıp kullanılmadığının ise bilinmediğini ifade etti.
TARAYICI DIŞINDAKİ GÜNCELLEMELER YAYIMLANDI
Cloudflare, WARP olarak da bilinen istemcileri ve Cloudflare Tunnel için güncellemeler yayımladı. Şirket, kendi hizmetlerinde açığın aktif olarak kullanıldığına dair bulguya rastlamadığını açıkladı.
Tarayıcıda alınan önlem, aynı cihazdaki bütün yazılımların korunduğu anlamına gelmiyor. Uygulamalar farklı sertifika listeleri kullanabildiği için bazı sistemlerde ayrıca güncelleme ve yeniden başlatma gerekebiliyor.
Cloudflare, güncelleme sonrasında görülebilecek sertifika hatalarının doğrulamayı kapatarak giderilmemesi gerektiğini vurguladı. Şirket, bu işlemin güncellemelerin yeniden sağlamaya çalıştığı kimlik doğrulama korumasını ortadan kaldıracağını belirtti.
