Google ve Diğer Büyük Hizmetler İçin Sahte TLS Sertifikaları Elde Eden Hackerlar.

Saldırganlar, üç üst düzey alan adını (top-level domain) ele geçirip bu kontrolü kullanarak Google ve diğer büyük kuruluşlar için sahte TLS sertifikaları düzenledi; Google bu bilgiyi Salı günü açıkladı.

Saldırganlar .gh, .sl ve .as ülke kodlu üst düzey alan adlarına (ccTLD’ler) yönelik bir dizi saldırı başlattı, ardından bu alan adları içinde seçili alan adlarının yetkili DNS kayıtlarını değiştirdi. Bu DNS kayıtlarını kontrol ederek saldırganlar, otomatik alan adı doğrulama kontrollerinden geçebildi ve “birkaç Google alan adı” ile “birkaç önde gelen küresel marka ve yaygın kullanılan çevrimiçi hizmet” için yetkisiz sertifikalar edindi. Google, Chrome‘u, yetkisiz olduğunu tespit ettiği tüm sertifikaları engelleyecek şekilde güncelledi ve yetkisiz sertifikaların Google’a ait varlıklar için iptal edilmesini sağlamak için sertifikayı veren otoritelerle çalıştı.

Sertifika düzenlenmesi: Zincirdeki zayıf halka

TLS sertifikaları, web siteleri, posta sunucuları ve diğer internet altyapısı için kimlik doğrulama ve şifreleme korumalarının temelini oluşturan kriptografik kimlik bilgileridir. Bu X.509 sertifikaları, google.com gibi bir alan adını bir açık anahtara bağlayan dijital imza kullanır. Claro anahtar herkese açıkken, özel anahtar yalnızca web sitesi işletmecisinin elinde bulunur. Bir bağlantı anahtarların eşleştiğini gösterdiğinde, bağlantıyı kuran taraf bir sahtekâra değil, gerçek siteye bağlandığını anlar. Yetkisiz sertifikalara sahip olmak, saldırganların etkilenen altyapıyı kriptografik olarak taklit etmesine olanak tanır.

Google, kendisine ait etkilenen alan adlarını açıklamadı ve alan adları etkilenen diğer kuruluşların hiçbirinin adını vermedi. Chrome kullanıcılarının korunmak için herhangi bir işlem yapmasına gerek olmadığına dikkat çeken Google, alan adı işletmecilerini kullanıcılarını korumak için yalnızca tarayıcı tarafındaki müdahalelere güvenmemeleri konusunda uyardı. Şirket, alan adı işletmecilerine, alan adlarında beklenmedik sertifika düzenlemelerini tespit etmek için Sertifika Şeffaflığı (CT) günlüklerini izlemelerini ve DNS kontrolü yeniden sağlandıktan sonra saldırganların önbelleğe alınmış doğrulama verilerini yeniden kullanmasını önlemek için kısıtlayıcı Sertifika Otoritesi Yetkilendirmesi (CAA) DNS kayıtları yayımlamalarını tavsiye ediyor.

“Chrome, bu olaylar sırasında etkilenen ccTLD’lerde yetkisiz olduğundan şüphelenilen sertifikaları tespit edip engellemek için adımlar attı, ancak kullanıcılarınızı korumak için tarayıcı tarafındaki müdahalelere güvenilmemelidir,” dedi Google. “DNS ele geçirmelerinin karmaşıklığı nedeniyle, analizimizin etkilenen tüm alan adlarını tespit ettiğini garanti edemiyoruz; Chrome’un müdahaleleri Chrome kullanmayan kullanıcıları da güvenilir biçimde korumaz.”

Diğer etkilenen kuruluşların hangileri olduğu, kaç yetkisiz sertifika düzenlendiği ya da Google alan adları dışındaki sertifikaların tümünün engellenip engellenmediği hemen belli değil. Sertifikaları resmi olarak iptal etme süreci yavaş ve zahmetli olduğundan, tarayıcı üreticileri belirli sertifikaları tarayıcı düzeyinde engellemek için daha hızlı yöntemler geliştirdi. Bilinen tüm yetkisiz sertifikalar artık engellendiğinden risk azaltılmış durumda; ancak Google’ın belirttiği gibi, henüz keşfedilmemiş sertifikalar tehdit oluşturmaya devam ediyor.

Google, olayın etkilenen alan adı işletmecilerinin altyapısının ihlal edilmesini içermediğini ve sertifika otoritelerinin tüm gereklilikleri yerine getirdiğini belirtti. Bu üç ccTLD’nin kontrolüyle saldırganlar, seçili bir web sitesi listesinin IP adreslerini değiştirebildi. Bu sitelere trafik gönderip bu sitelerden trafik alabilme olanağı sayesinde saldırganlar, seçili alan adlarının yetkili DNS kayıtlarını ve isim sunucusu delegasyonlarını değiştirebildi; böylece başvuranın alan adını kontrol ettiğini kanıtlamasını gerektiren sektör doğrulama kontrollerini geçebildi.

Tehdit aktörlerinin yetkisiz sertifikalar edinmesi ilk kez yaşanmıyor. Hollanda merkezli sertifika otoritesi DigiNotar’a yönelik 2011 yılındaki saldırı, saldırganların Google.com ve 200’den fazla yüksek trafikli diğer alan adı için sahte sertifika düzenlemesine olanak tanıdı. Bu sertifikalar, sahte sertifikalarla taklit edilen siteleri gezen, İran ile bağlantısı olan en az 300.000 kişiye karşı kullanıldı. O zamandan beri çoğunlukla sertifika otoritelerinin, bazen de alan adı işletmecilerinin hataları yoluyla birçok benzer olay yaşandı.