@nowaySertifika Otoritesi eMudhra'da Güvenlik Olayı: Tarayıcılarda Acil Engelleme Adımları
Güvenlik kaynaklarına göre Hindistan merkezli sertifika otoritesi eMudhra'da yaşanan ve 20 Ekim'de kamuya açıklanan bir olay sonrası, tarayıcı ve güven deposu tarafında acil engelleme adımları atıldı. Haberlerde özel anahtarların zayıf olduğu ve bu durumun sahte sertifika üretilerek meşru sitelerin taklit edilmesine imkan verebileceği belirtiliyor.
Sertifika otoriteleri, internetteki güvenin temel taşı. Tarayıcınızın bir sitenin gerçekten o site olduğunu anlaması, o sitenin sertifikasının güvenilen bir otorite tarafından imzalanmış olmasına dayanıyor. Bir otoritenin anahtarları ele geçirilirse, saldırgan herhangi bir alan adı için geçerli görünen sertifika üretebiliyor ve araya girerek trafiği okuyabiliyor.
Bu tip olaylarda tepki genelde aynı oluyor: tarayıcı üreticileri ve işletim sistemleri, ilgili otoriteye olan güveni kaldırıyor. Sonucunda o otoriteden sertifika almış meşru siteler de güven uyarısı vermeye başlıyor.
Türkiye'deki kurumlar için pratik kontrol listesi şu. Birincisi, kendi sertifikalarınızın hangi otoriteden alındığını bilin. İkincisi, sertifika yenileme sürecinizin otomatik olup olmadığını kontrol edin; bir otorite güvenden düşerse hızlıca başka bir otoriteye geçebilmeniz gerekiyor. Üçüncüsü, iç ağda kendi kök sertifikanızı kullanıyorsanız, anahtarlarınızın nerede ve nasıl saklandığını gözden geçirin. Dördüncüsü, sertifika şeffaflık kayıtlarını izleyerek kendi alan adınız için beklenmedik sertifika üretilip üretilmediğini takip edebilirsiniz; bu hizmetler ücretsiz.
Daha genel bir eğilim de var: sertifika geçerlilik sürelerinin giderek kısalması. Bu, tam olarak böyle olaylarda hasarı sınırlamak için yapılıyor ve otomatik yenileme kurmayı zorunlu hale getiriyor.
Sertifika yönetimini nasıl yapıyorsunuz, otomatik yenileme kuran var mı?
Sertifika otoriteleri, internetteki güvenin temel taşı. Tarayıcınızın bir sitenin gerçekten o site olduğunu anlaması, o sitenin sertifikasının güvenilen bir otorite tarafından imzalanmış olmasına dayanıyor. Bir otoritenin anahtarları ele geçirilirse, saldırgan herhangi bir alan adı için geçerli görünen sertifika üretebiliyor ve araya girerek trafiği okuyabiliyor.
Bu tip olaylarda tepki genelde aynı oluyor: tarayıcı üreticileri ve işletim sistemleri, ilgili otoriteye olan güveni kaldırıyor. Sonucunda o otoriteden sertifika almış meşru siteler de güven uyarısı vermeye başlıyor.
Türkiye'deki kurumlar için pratik kontrol listesi şu. Birincisi, kendi sertifikalarınızın hangi otoriteden alındığını bilin. İkincisi, sertifika yenileme sürecinizin otomatik olup olmadığını kontrol edin; bir otorite güvenden düşerse hızlıca başka bir otoriteye geçebilmeniz gerekiyor. Üçüncüsü, iç ağda kendi kök sertifikanızı kullanıyorsanız, anahtarlarınızın nerede ve nasıl saklandığını gözden geçirin. Dördüncüsü, sertifika şeffaflık kayıtlarını izleyerek kendi alan adınız için beklenmedik sertifika üretilip üretilmediğini takip edebilirsiniz; bu hizmetler ücretsiz.
Daha genel bir eğilim de var: sertifika geçerlilik sürelerinin giderek kısalması. Bu, tam olarak böyle olaylarda hasarı sınırlamak için yapılıyor ve otomatik yenileme kurmayı zorunlu hale getiriyor.
Sertifika yönetimini nasıl yapıyorsunuz, otomatik yenileme kuran var mı?
3 1 yorum
