Teknoloji Devleri Sahte Site Riskine Karşı Birleşti

Büyük teknoloji şirketleri ve internet tarayıcısı geliştiricileri, saldırganların yasal web sitelerini taklit etmesine olanak tanıyabilecek sekiz savunmasız dijital sertifikaya karşı acil durum engellemesi uyguladı.

Hindistan merkezli sertifika yetkilisi eMudhra Limited tarafından yayımlanan sekiz ara sertifikanın özel anahtarlarının yetersiz derecede güvenli olduğunun tespit edilmesinin ardından şirketler koruma önlemlerini devreye soktu.

Mozilla kriptografi mühendisi Dennis Jackson yayımladığı olay raporunda, güvenlik açığı bildirimini cumartesi günü aldıklarında özel anahtarları bağımsız olarak ele geçirdiklerini ve anahtar üretim sürecinin kusurlu olduğunu teyit ettiklerini belirtti. Jackson, sürecin istismar edilmesinin oldukça kolay olduğunu ifade etti.

Bir kullanıcının bağlantısını kesen veya araya giren saldırganlar, sahte sertifikaları kullanarak güvenilir bir web sitesi gibi davranabiliyor ve bu yolla iletilen bilgileri okuyabiliyor veya değiştirebiliyor. Birçok teknoloji kuruluşu sertifikaları hızlıca engellemiş olsa da güncellemeleri otomatik olarak almayan uygulama ve sistemlerde tehlike devam ediyor.

Mozilla Firefox güvenlik ekibi, cumartesi günü bildirimi aldıktan sonra aynı gün içinde OneCRL sistemi üzerinden ilgili sertifikaları engellediğini açıkladı. Ekip ardından, OneCRL güncellemesini almalarını engelleyen özel ayarlara sahip kullanıcıları korumak amacıyla masaüstü ve Android sürümleri için bir güncelleme yayımladı.

Cloudflare ise durumdan pazartesi günü haberdar olduğunu duyurdu. Şirket; Cloudflare One, WARP istemcileri ve Cloudflare Tunnel için salı günü güncellemeler sunarken tüm hizmetlerinde risk azaltma önlemleri aldı.

Dennis Jackson; söz konusu sertifikaların cumartesiden bu yana Chrome'da, pazartesiden bu yana Apple cihazlarında ve salı gününden itibaren Microsoft platformlarında engellendiğini kaydetti. Sorunun 19 Ekim'de alt güvenilirlik depolarına sorumlu bir şekilde bildirildiğini belirten Jackson, birçok kurumun güncellemeleri yayımladığını ya da yayın sürecinde olduğunu aktardı.

Jackson, Nisan 2025'ten bu yana ara sertifikalar için şeffaflık kayıtlarında herhangi bir girdi bulunmadığını, dolayısıyla Firefox, Chrome, Edge ve Safari üzerinde bu yöntemle yapılmış bir saldırı kanıtı olmadığını ifade etti. Ancak tarayıcı ekosistemi dışındaki birçok istemcinin sertifika şeffaflığını zorunlu kılmadığını vurgulayan Jackson, saldırganların bu açığı kullanarak söz konusu istemcileri hedef alıp almadığının bilinmediğini ekledi.

Yaşanan gelişme, 2011 yılında Hollandalı sertifika yetkilisi DigiNotar'ın uğradığı siber saldırıyı hatırlattı. Söz konusu ihlalde bilgisayar korsanları 531 sahte SSL sertifikası üretmiş ve bu sertifikalar aracılığıyla Google gibi davranarak yaklaşık 300 bin İranlı kullanıcının e-posta hesaplarını gözetlemişti.