Google, Mozilla, Apple, Go projesi ve diğerleri Hindistan merkezli sertifika kuruluşundaki etkilenen sertifikaları hızla engellemeye başladı; anahtarların nasıl ele geçirildiği net değil.
Google, Mozilla, Apple ve Go programlama dili projesi, saldırganların herhangi bir meşru web sitesi veya hizmetini taklit etmesine olanak tanıyabilecek bir olay karşısında sekiz tehlikeye uğramış anahtar ile imzalanmış sertifikaları engelledi.
Etkilenen anahtarlar Hindistan merkezli sertifika kuruluşu eMudhra tarafından çıkarılan ara sertifikalarla ilişkilidir. Altısı web siteleri için TLS sertifikası çıkarmak için kullanılırken diğer ikisi kod imzalamada kullanıldı.
Sahte Sertifika Kullanımının Önlenmesi
Engellemeler, tarayıcıların ve uygulamaların saldırganların tehlikeye uğramış anahtarları kullanarak çıkarabileceği sahte dijital sertifikalara güvenmesini engellemek için tasarlandı; bu da web sitesi taklit riskini ve şifrelenmiş iletişimin ele geçirilme ihtimalini azaltıyor.
Koruma tüm kullanıcı ve uygulamalara otomatik olarak uzanmıyor. Mozilla, Google ve Apple engelleri kendi sertifika iptal mekanizmaları üzerinden dağıttı; Go ile oluşturulmuş uygulamaların düzeltmeyi alabilmesi için yamalı sürümlerle yeniden derlenmesi gerekiyor. Diğer yazılımların da sertifika güvenini nasıl yönettiğine bağlı olarak güncelleme yapması gerekebilir.
Saldırganların tehlikeye uğramış anahtarları kullanarak sahte sertifika çıkarmanın başardığı hâlâ belirsiz. Google, Sertifika Şeffaflığı korumalarının engellemelerin yürürlüğe girmesinden önce Chrome’da etkilenen TLS sertifikalarının varsayılan olarak güvenilmesini engellediğini söyledi.
Mozilla ise standart Firefox yapılandırmasına sahip kullanıcıların tarayıcıyı güncelleme veya yeniden başlatma ihtiyacı olmadan engellemeyi aldığını belirtti. Go projesi bakımcıları derhal yamalı Go sürümleri 1.27.3 ve 1.26.10’a yükseltme yapılmasını “yüksek derecede tavsiye ediyor”.
eMudhra Hindistan merkezli bir şirket olup dijital kimlik, elektronik imza ve genel anahtar altyapısı hizmetleri sunuyor. Şirketin hizmetleri web sitelerini doğrulamak için dijital sertifika çıkarma, elektronik belge imzası, dijital kimlik doğrulama ve çevrimiçi işlemlerin güvenliğini sağlama faaliyetlerini kapsıyor.
Mozilla’nın kriptografi mühendisliği ekibinden olayın zaman çizelgesini tutan Dennis Jackson, eMudhra’nın tehlikeye uğramış ara sertifikaları iptal ettiğini anlattı. “Bu, Mozilla, Microsoft, Apple ve Chrome tarafından OneCRL, CRLite ve CRLSets gibi iptal bilgisi dağıtım araçlarıyla kullanıcılar için zaten giderildi” diye yazdı. “Ancak birçok başka istemci iptal bilgisini tüketmiyor ve tehlikeye uğramış ara sertifikalara artık güvenmemelerini sağlamak için yazılım güncellemesi gerekiyor.”
Jackson kullanıcıların işletim sistemlerini ve tarayıcılarını mümkün olan en kısa sürede en güncel sürümlere güncellemelerini önerdi.
İhlal Detayları Hâlâ Belirsiz
Şu an için eMudhra ihlalinin nasıl ve ne zaman gerçekleştiğine dair bir ayrıntı yok. Jackson’a göre Mozilla, 17 Ekim’de yalnızca Wayne olarak kendini tanımlayan bir araştırmacıdan ihlal haberini aldı. Araştırmacı, sekiz ara sertifika otoritesiyle ilişkili özel anahtarlara erişimi olduğunu, her anahtarı aynı kısa mesaj üzerinde dijital imza oluşturmak için kullanarak gösterdi: “We have a problem here - Wayne.”
Mozilla tehlikeye uğramış sertifikaları engelleme işlemini yaklaşık üç saat sonra tamamladı. “2015’te tanıttığımız iptal edilmiş sertifikaların merkezi listesi. OneCRL, kullanıcıların güncelleme yapmasını veya Firefox’u yeniden başlatmasını gerektirmeden bu korumayı sunmamıza olanak tanır” dedi Jackson.
Bundan sonra Mozilla, eMudhra, diğer kök programlar ve alt düzey güven mağazası işletmecileriyle kök nedenin araştırılması, olayın sorumlu şekilde ifşa edilmesi ve daha geniş ekosistemin korunması için çalışıyor. Şu anda Mozilla’nın diğer sertifika otoritelerinin de benzer şekilde etkilenmiş olabileceğine dair bir kanıtı yok.
Aynı grupta paylaşımda bulunan Google Chrome Kök Program Ekibi üyesi, ihlal haberini Mozilla ile aynı zamanda aldığını ve konuyu iki saatten kısa sürede ele aldığını anlattı.
“İlk engellemeden sonra Chrome Root Store güven sınırındaki tüm CA sertifikalarını değerlendirdik ve bu hata moduna dair başka örnek bulamadık” diye yazdı ekip üyesi, “Ayrıca CT ekosistemine yönelik riski önlemek için ileriye dönük olarak bu tehlikeye uğramış ara CA’lara zincirlenen sertifikaları reddetmek üzere CT günlüğü yazılımı bakımcıları ve günlük işletmecileriyle çalışıyoruz.”
Go projesi bakımcıları ise eMudhra’yı isim vermedi. Bunun yerine, belirtilmemiş bir operasyonel güvenlik endişesi nedeniyle “küçük bir ara sertifika kümesi”ne güveni engelleme planlarını not etti.
Maruziyeti değerlendirmek isteyen kuruluşlar için etkilenen sertifikalar, emSign Root TLS CA - G3 altında çıkarılan EM DV TLS CA, EM OV TLS CA ve EM EV TLS CA’nın her biri için G3B ve G3C varyantları olmak üzere altı TLS ara sertifikasını içeriyor. Etkilenen sertifikalar ayrıca emSign Root CS CA - G3 altında çıkarılan iki kod imzalama ara sertifikası EM OV CS CA - G3B ve EM OV CS CA - G3C’yi de içeriyor.
Sertifika otoritelerini ilgilendiren ihlaller ve hatalar yıllar boyunca tarayıcı üreticilerini dijital sertifikalara olan güveni geri çekmeye zorladı. 2011’de Hollanda merkezli CA DigiNotar’da bir ihlal yaşandı.
2017’de Google, Mozilla ve diğer tarayıcı üreticileri Symantec’in sertifikaların kronik olarak hatalı çıkarılmasına itiraz etti ve CA’ya yönelik güveni geri çekti; anlaşmazlık Symantec’in CA işini o yıl sonunda DigiCert’e satmasıyla sona erdi. Daha yakın zamanda 2025’te Google, operasyonlarının bütünlüğüne ilişkin endişeler nedeniyle Chungwa ve Netlock’tan gelen sertifikalara artık güvenmeyeceğini duyurdu.
