Teknoloji devleri, saldırganların meşru web sitelerini taklit etmesine olanak tanıyabilecek sekiz güvenlik açığı bulunan dijital sertifikaya karşı acil engeller uyguladı.
Salı günü itibarıyla tarayıcı geliştiricileri ve diğer büyük teknoloji şirketleri, özel anahtarlarının yeterince güvenli olmadığının keşfedilmesinin ardından Hindistan merkezli sertifika otoritesi eMudhra Limited tarafından verilen sekiz ara sertifikaya karşı korumaları devreye almıştı.
Mozilla kriptografi mühendisi Dennis Jackson, cumartesi günü açığa ilişkin ilk bildirimi aldığında özel anahtarları bağımsız olarak kurtardığını ve anahtar oluşturma sürecinin “kusurlu” ve “istismar edilmesinin son derece kolay” olduğunu doğruladığını bir olay raporunda yazdı.
Mozillaya göre, bir kullanıcının bağlantısını ele geçiren saldırgan, sahte sertifikaları kullanarak meşru bir web sitesini taklit edebilir ve gönderilen bilgileri okuyabilir veya değiştirebilir.
Birçok şirket etkilenen sertifikaları hızla engellemiş olsa da bu engelleri otomatik olarak almayan uygulamalar ve sistemler için tehdit sürüyor.
Mozilla Firefox‘un güvenlik ekibi salı günü yayımladığı bir blog gönderisinde, raporu cumartesi günü aldığını ve aynı gün tamamladığı OneCRL’yi kullanarak Firefoxta etkilenen sertifikaları engellediğini söyledi. Ardından masaüstü ve Android için tarayıcısına bir güncelleme yayımladı; bu güncelleme, OneCRL güncellemesini almalarını engelleyen özel ayarlara sahip kullanıcıları koruyordu.
Cloudflare, rapordan pazartesi günü haberdar olduğunu ve hizmetleri genelindeki önlemlerin yanı sıra Cloudflare One ve WARP İstemcileri ile Cloudflare Tunnel için güncellemeleri salı günü yayımladığını söyledi.
Jackson, sertifikaların cumartesi gününden bu yana Chromeda, pazartesi gününden beri Apple cihazlarında ve salı gününden beri Microsoft platformlarında da engellendiğini söyledi.
“Sorun, 19 Ekimde alt güven depolarına sorumlu bir şekilde bildirildi. Birçoğu güncellemeleri yayımladı veya yayımlama sürecinde,” dedi.
İlgili: Hugging Face saldırısı, açık ağırlıklı yapay zekânın siber güvenlik paradoksunu ortaya çıkarıyor
Jackson, nisan 2025‘ten bu yana ara sertifikalara ilişkin sertifika şeffaflığı günlüklerinde hiçbir kayıt bulunmadığı için Firefox, Chrome, Edge ve Safari’nin bu şekilde saldırıya uğradığına dair kanıt olmadığını söyledi.
“Ancak tarayıcı ekosistemi dışındaki birçok istemci, Sertifika Şeffaflığını zorunlu kılmaz. Saldırganların kusurlu anahtar oluşturma sürecinden yararlanarak bu istemcileri hedefleyip hedeflemediğini bilmiyoruz,” dedi.
Olay, bilgisayar korsanlarının Hollanda‘daki sertifika otoritesini ele geçirerek 531 sahte SSL sertifikası düzenlediği 2011’deki DigiNotar ihlalini hatırlatıyor.
Sahte sertifikalar, tehdit aktörlerinin Google gibi görünmesine ve yaklaşık 300.000 İranlı Gmail hesabını gözetlemesine olanak tanıdı.
Dergi: Ajanlar 24/7 işlem yapabilir — ancak Yat Siu, erişiminizi her an kaybedebileceğiniz konusunda uyarıyor