Apple Sekiz Riskli Web Sertifikasını Engelledi

Apple, internet üzerindeki sitelerin kimliğini doğrulamak için kullanılan sekiz web sertifikasını engelledi. Bu sertifikalar, kötü niyetli kişilerin güvenilir alan adlarını taklit ederek sahte bağlantılar oluşturmasına yardımcı olabilecek bir güvenlik açığıyla ilişkilendiriliyor. Sertifikaların iptal edilmesi web tarayıcılarındaki riski azaltıyor, ancak Mac bilgisayarlarda işletim sistemi seviyesindeki tüm kontrollerin aynı anda güncellendiği anlamına gelmiyor.

Sorunun merkezinde, web siteleriyle tarayıcılar arasındaki güven zincirinde kullanılan ara sertifikalar yer alıyor. Bir kullanıcı siteyi açtığında tarayıcı, sunucunun gerçekten ilgili alan adına ait olup olmadığını sertifika zinciri üzerinden kontrol ediyor. Bu mekanizma, kullanıcıların gerçek bir hizmete bağlandığını anlamasına yardımcı oluyor ve şifre ya da ödeme bilgisi gibi verilerin sahte bir sunucuya gönderilmesi riskini azaltıyor.

Özel anahtarlar yalnızca 256 denemeyle bulunabiliyordu

Güvenlik sorunu, sertifikaları üretmek için kullanılan bir betikteki hatadan kaynaklandı. Hata nedeniyle bazı sertifikaların özel anahtarları yeterince rastgele oluşturulmadı. Bu anahtarları bulmak için yalnızca 256 farklı sayı denenmesinin yeterli olabildiği belirtiliyor. Normal koşullarda özel anahtarların tahmin edilmesi son derece zor olmalı; ancak burada kullanılan yöntem, sertifikaların güvenlik seviyesini ciddi biçimde düşürdü.

Özel anahtara ulaşan bir saldırgan, ilgili sertifikayı kullanarak güvenilir bir internet sitesini taklit edebilirdi. Böyle bir senaryoda kullanıcı, adres çubuğunda beklediği alan adını gördüğünü düşünerek sahte bir sunucuya bağlanabilir veya dolandırıcılık amacı taşıyan bir bağlantıya yönlendirilebilirdi. Bu nedenle sertifikaların iptal edilmesi, yalnızca belirli bir dosyanın sistemden silinmesinden ibaret değil; tarayıcıların bu sertifikalara artık güvenmemesini sağlayan bir işlem olarak değerlendiriliyor.

Apple, etkilenen sekiz sertifikayı iptal etti ve hatanın bundan sonra üretilecek sertifikalara taşınmaması için gerekli düzenlemeleri yaptı. Google ve Mozilla da kendi tarayıcılarında bu sertifikaları engelledi. Güncel tarayıcılar, sorunlu sertifikalara dayanan bağlantıları reddedecek şekilde yapılandırıldığı için web gezintisi sırasında alınan koruma arttı.

Tarayıcı engeli macOS davranışını tamamen değiştirmiyor

Ancak tarayıcıların yaptığı engelleme ile macOS’un işletim sistemi düzeyindeki sertifika kontrolleri aynı şey değil. Mozilla’da görev yapan kriptografi mühendisi Dennis Jackson, macOS’un sertifika iptal durumunu düzenli biçimde kontrol etmemesinin bazı Mac’lerde risk yaratabileceği uyarısında bulundu. Buna göre sistem, geçmişte güvenilir kabul edilen bir sertifikanın sonradan iptal edildiğini her durumda otomatik olarak fark etmeyebilir.

Bu ihtimal, özellikle işletim sistemiyle birlikte gelen ve bağlantı kurmak için sistem sertifika deposunu kullanan araçlarda önem kazanıyor. macOS ile sunulan /usr/bin/curl yardımcı programının, sertifika paketinde iptal bilgilerini denetlemediği için güvenliği bozulan sertifikaları hâlâ geçerli kabul edebileceği belirtiliyor. Dolayısıyla tarayıcılar sorunlu sertifikaları engellese bile macOS üzerindeki her uygulamanın aynı davranışı göstermesi garanti edilmiyor.

Buradaki tablo, her Mac kullanıcısının doğrudan saldırı altında olduğu anlamına gelmiyor. İptal edilen sertifikaların gerçek saldırılarda kullanıldığına ilişkin bir kanıt bulunmuyor. Risk daha çok, saldırganların söz konusu özel anahtarları ele geçirmesi durumunda güven zincirinin kötüye kullanılabilmesinden kaynaklanıyor. Yine de tarayıcı güncellemeleri ile işletim sistemi güncellemelerinin farklı katmanlarda çalışması, güvenlik açıklarının neden yalnızca tek bir uygulamayı güncelleyerek tamamen çözülemeyebileceğini gösteriyor.

Mac kullanıcıları hangi adımları atmalı?

Kullanıcıların öncelikle macOS güncellemelerini düzenli olarak kontrol etmesi gerekiyor. Apple’ın işletim sistemi tarafında sertifika iptal kontrollerini değiştiren bir düzeltme yayımlayıp yayımlamayacağı veya böyle bir güncellemenin ne zaman sunulacağı konusunda doğrulanmış bir tarih bulunmuyor. Bu nedenle mevcut korumanın tamamen yeterli olduğu varsayılmamalı.

Tarayıcıların güncel tutulması da önemli. Apple, Google ve Mozilla tarafından uygulanan engellemeler, desteklenen tarayıcılarla yapılan bağlantılarda sorunlu sertifikaların kullanılmasını önlüyor. Ancak kullanıcıların güvenlik alışkanlıkları da aynı ölçüde belirleyici. Şüpheli e-postalardaki bağlantılara tıklamamak, alan adını dikkatlice kontrol etmek ve hassas bilgileri yalnızca beklenen internet sitesinde girmek, sertifika kontrollerinin sağlayamadığı ek bir koruma katmanı sunuyor.

Bu olay, web sertifikalarının tek başına kusursuz bir güvenlik garantisi olmadığını da hatırlatıyor. Sertifika zinciri doğru çalıştığında sitenin kimliğini doğrulamaya yardımcı oluyor; ancak üretim sürecindeki bir hata veya iptal bilgilerinin sisteme geç ulaşması güven modelini zayıflatabiliyor. Apple’ın tarayıcı tarafındaki engellemesi mevcut riski azaltırken, macOS’un sertifika iptal davranışına ilişkin belirsizlik giderilene kadar kullanıcıların güncellemeleri ertelememesi gerekiyor.