Öne Çıkan Gelişmeler & Özet:
- • Hindistan merkezli sertifika sağlayıcısı eMudhra'nın sekiz ara sertifikasına ait özel anahtarların güvenli olm...
- • Sertifikalar, kullanıcının bağlandığı sunucunun gerçekten ilgili internet sitesine ait olduğunu doğrulamaya ya...
- • Yetkili kurumlar ve uzmanlar gelişmeleri anlık olarak analiz etmeye devam ediyor.
Hindistan merkezli sertifika sağlayıcısı eMudhra'nın sekiz ara sertifikasına ait özel anahtarların güvenli olmadığı belirlendi. Mozilla ve Cloudflare, bu anahtarların saldırganların kontrol etmediği alan adları için sahte HTTPS sertifikaları üretmekte kullanılabileceğini açıkladı.
Sertifikalar, kullanıcının bağlandığı sunucunun gerçekten ilgili internet sitesine ait olduğunu doğrulamaya yardımcı oluyor. Sahte bir sertifikayı kabul eden uygulamada, bağlantının arasına girebilen saldırgan siteyi taklit ederek iletilen bilgileri okuyabiliyor veya değiştirebiliyor. Cloudflare, sorunun bağlantıyı şifreleyen algoritmalardan değil, sertifikayla kimlik doğrulama sürecinden kaynaklandığını belirtti.
Mozilla, bildirimi aldıktan sonra etkilenen sertifikaları Firefox'un merkezi iptal listesi üzerinden engelledi. Kuruluşun açıklamasına göre standart ayarları kullanan Firefox kullanıcılarına koruma üç saatten kısa sürede ulaştırıldı. Bu işlem için tarayıcının yeniden başlatılması gerekmedi.
Gelişmenin Perde Arkası ve Detaylar
Otomatik korumayı özel ayarları nedeniyle alamayan kullanıcılar için masaüstü ve Android sürümlerine güncellemeler de yayımlandı. Mozilla, aynı sertifika altyapısını kullanan diğer uygulamaların korunması için güvenilen sertifikalar listesinde ek değişiklik yaptığını bildirdi.
Mozilla kriptografi mühendisi Dennis Jackson'ın değerlendirmesine göre Chrome, Apple ve Microsoft platformları da etkilenen sertifikaları engelledi. Jackson, büyük tarayıcıların bu yöntemle saldırıya uğradığını gösteren kanıt bulunmadığını belirtti. Tarayıcı dışındaki uygulamalarda açığın kullanılıp kullanılmadığının ise bilinmediğini ifade etti.
Cloudflare, WARP olarak da bilinen istemcileri ve Cloudflare Tunnel için güncellemeler yayımladı. Şirket, kendi hizmetlerinde açığın aktif olarak kullanıldığına dair bulguya rastlamadığını açıkladı.
Resmi Açıklamalar ve Süreçteki Son Durum
Tarayıcıda alınan önlem, aynı cihazdaki bütün yazılımların korunduğu anlamına gelmiyor. Uygulamalar farklı sertifika listeleri kullanabildiği için bazı sistemlerde ayrıca güncelleme ve yeniden başlatma gerekebiliyor.
Cloudflare, güncelleme sonrasında görülebilecek sertifika hatalarının doğrulamayı kapatarak giderilmemesi gerektiğini vurguladı. Şirket, bu işlemin güncellemelerin yeniden sağlamaya çalıştığı kimlik doğrulama korumasını ortadan kaldıracağını belirtti.