Mozilla ve Google eMudhra sertifikalarındaki sızıntı nedeniyle harekete geçti
Öne çıkanlar
- eMudhra kuruluşuna ait sekiz ara sertifikanın özel anahtarları ele geçirildi.
- Mozilla OneCRL, Google ise CRLSet mekanizmasıyla etkilenen anahtarları engelledi.
- Chrome ekibi engelleme öncesinde sahte bir TLS sertifikasının kayıtlara geçmediğini bildirdi.
- Her iki şirket de ilgili kök sertifikaları güvenilir depolarından kaldırma kararı aldı.
Mozilla ve Google, sertifika yetkilisi eMudhra'ya ait sekiz ara sertifikanın özel anahtarlarının ele geçirildiğini duyurdu. Saldırganların yetkisi olmayan internet siteleri için sahte HTTPS sertifikaları üretmesine olanak tanıyabilecek bu sızıntı, bağımsız güvenlik araştırmacıları tarafından her iki şirkete de bildirildi. Güvenlik ekipleri, tarayıcı kullanıcılarını korumak için doğrudan uzaktan iptal listelerini devreye soktu.
Mozilla, 17 Ekim'de gelen ihbarın ardından üç saatten kısa bir sürede Firefox'un OneCRL mekanizmasını kullanarak etkilenen sertifikaları engelledi. Şirket, 20 Ekim'de yayımladığı NSS güncellemesiyle bu ara sertifikaları imzalayan kök sertifikayı güvenilir listesinden çıkardı. Benzer şekilde Chrome Kök Programı da CRLSet güncellemesi dağıtarak ilgili anahtar özetlerini engelledi ve kullanıcılara tarayıcıyı yeniden başlatmaya gerek kalmadan koruma sağladı.
Chrome ekibi, Sertifika Şeffaflığı (CT) kayıtlarında engelleme öncesinde bu ara sertifikalarla imzalanmış sahte bir sertifikaya rastlanmadığını açıkladı. Google, Chrome Root Store Sürüm 43 ile eMudhra kök sertifikasını mağazadan tamamen kaldırmayı planladığını ve sağlayıcının güvenilirlik durumunu kapsamlı bir değerlendirmeye aldığını bildirdi. Diğer kök deposu yöneticilerine de benzer engelleme adımlarını hızla uygulamaları tavsiye edildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.