Apple, eMudhra'nın zayıf anahtarlı sertifikalarını engelledi

Apple, sahte web siteleri oluşturmak isteyen saldırganların işine yarayabilecek güvenlik sertifikalarını cihazlarında engelledi. Söz konusu sertifikalar, sertifika otoritesi eMudhra tarafından verilmişti ve Mozilla'nın yürüttüğü inceleme sonucunda ciddi bir zayıflık taşıdığı ortaya çıktı.

Edinilen bilgiye göre sorun, sertifikalara ait özel anahtarların tamamının 256'nın altındaki sayılardan oluşmasından kaynaklanıyor. Bu durum anahtarların neredeyse anında geri elde edilebilmesi anlamına geliyor. Apple'ın engellemeleri 19 Ekim'de devreye aldığı belirtiliyor.

Sertifika ve özel anahtar ilişkisi

Genel olarak web sitesi sertifikaları, bir sitenin gerçekten iddia ettiği kişi ya da kuruluşa ait olduğunu doğrulamak için kullanılıyor. Sertifikaları, tarayıcıların ve işletim sistemlerinin güvendiği sertifika otoriteleri düzenliyor. Her sertifikanın arkasında, yalnızca sahibinin bilmesi gereken bir özel anahtar bulunuyor.

Bu anahtarların güvenliği, tahmin edilmelerinin pratikte imkânsız olmasına dayanıyor. Anahtar başkalarının eline geçerse ya da kolayca bulunabilirse, o anahtarla sahte sertifikalar üretmek mümkün hale geliyor ve doğrulama sisteminin değeri ortadan kalkıyor.

Mozilla'nın incelemesinde ne ortaya çıktı?

Mozilla'nın incelemesine göre eMudhra tarafından verilen etkilenmiş sertifikaların özel anahtarlarının hepsi 256'dan küçük sayılardan oluşuyordu. Bu kadar dar bir aralık, anahtarların neredeyse anında geri kazanılabilmesine yol açıyor.

Saldırganlar, etkilenen web sitesi sertifikalarının anahtarlarını kullanarak sahte sertifikalar oluşturabilir. Savunmasız yazılımlar da bu sahte sertifikalara güvenebilir. Yani sorun, yalnızca tek tek sitelerle sınırlı kalmayıp doğrulama yapan yazılımın yanıltılabilmesi anlamına geliyor.

Apple'ın önlemi ve tarayıcılar

Mozilla'da kriptografi mühendisi olarak çalışan Dennis Jackson'ın yayımladığı bir uyarıya göre Apple, 19 Ekim'de engellemeleri uygulamaya aldı. Bu korumalar, Apple'ın sistem düzeyindeki doğrulama mekanizmalarını kullanan yazılımların söz konusu sertifikalara güvenmesini önlüyor. Şirket, sertifikalar için gerekli engelleme güncellemelerini zaten dağıttı.

Jackson'a göre Safari ve diğer büyük tarayıcılarda, bu yoldan yapılabilecek saldırıları önleyecek ek sertifika kontrolleri de vardı. Bu nedenle tarayıcılar üzerinden bir saldırının mümkün olmayacağı belirtiliyor.

Açık kalan sorular ve komut satırı araçları

Saldırganların bu zayıflığı başka yazılımlar üzerinden kullanıp kullanmadığı şu an bilinmiyor. Bu belirsizlik, sorunun gerçek etkisinin tam olarak ölçülemediğini gösteriyor.

Etkilenen komut satırı araçlarını kullanan Mac sahipleri için Jackson'ın web sitesinde testler ve azaltma talimatları yer alıyor. Bu araçları kullananların, kendi sistemlerinin etkilenip etkilenmediğini söz konusu testlerle kontrol etmesi ve önerilen adımları uygulaması mümkün.