Saldırganlar üç ülkenin ccTLD DNS altyapısını ele geçirerek Google ve diğer büyük servisler adına yetkisiz HTTPS sertifikaları üretti.
Üç noktada haber
Saldırganlar Gana, Sierra Leone ve Amerikan Samoası'na ait ccTLD sistemlerindeki yetkili DNS kayıtlarını değiştirerek alan adı doğrulama testlerini aştı.
Olay sonucunda Google mülkleri ve çeşitli büyük küresel markalar adına izinsiz TLS sertifikaları üretildi.
Google, tespit ettiği sahte sertifikaları Chrome üzerinde engelledi ve ilgili sertifika sağlayıcılarına iptal ettirdi.
Siber saldırganlar, üç ülkeye ait üst seviye alan adı sistemlerini hedef alan kapsamlı bir siber saldırı zinciriyle Google ve çeşitli büyük çevrim içi platformlar adına sahte HTTPS sertifikaları üretti. Güvenlik olayında Gana (.gh), Sierra Leone (.sl) ve Amerikan Samoası (.as) uzantılarını yöneten ülke kodu üst seviye alan adı (ccTLD) altyapıları ele geçirildi.
DNS Doğrulama Mekanizması Nasıl Aşıldı?
Saldırganlar, ele geçirdikleri altyapılar üzerinden belirlenen alan adlarına ait yetkili DNS kayıtlarını ve alan adı sunucusu yönlendirmelerini değiştirdi. İnternette şifreli iletişimi ve kimlik doğrulamasını sağlayan TLS sertifikaları düzenlenirken, sertifika yetkilileri alan adının gerçek sahibini doğrulamak amacıyla otomatik kontroller uygular. Saldırganlar DNS kayıtları üzerinde tam denetim kurdukları için bu otomatik alan adı denetim testlerini başarıyla geçerek geçerli görünen sahte dijital sertifikalar elde etmeyi başardı.
Olayın ardından Google, kendi altyapısına veya sunucularına yönelik herhangi bir doğrudan sızma gerçekleşmediğini açıkladı. Şirket ayrıca sertifika dağıtan bağımsız kuruluşların da kuralları ihlal etmediğini, saldırının tamamen alan adı sistemlerinin kandırılmasıyla yürütüldüğünü belirtti. Bununla birlikte saldırganların yetkisiz sertifika oluşturduğu adresler arasında birkaç Google alan adının yanı sıra önde gelen küresel markaların ve yaygın kullanılan servislerin de bulunduğu kaydedildi.
Chrome Müdahalesi ve Güvenlik Sınırları
Google, tespit edilen yetkisiz sertifikaları Chrome tarayıcısında engellediğini ve ilgili sertifika sağlayıcılarıyla koordinasyon kurarak Google mülklerine ait sahte belgelerin resmen iptal edilmesini sağladığını duyurdu. Chrome kullanıcılarının şu aşamada ek bir işlem yapmasına gerek olmadığı belirtilse de şirket yalnızca tarayıcı tabanlı müdahalelere güvenilmemesi gerektiğini vurguladı.
DNS saldırılarının karmaşık yapısı sebebiyle etkilenen tüm alan adlarının eksiksiz tespit edildiğinin garanti edilemeyeceği ifade ediliyor. Ayrıca Chrome dışındaki tarayıcıları kullanan kişilerin bu engellemelerden doğrudan yararlanamayabileceğine dikkat çekildi. Google, alan adı sahiplerine sahte sertifika üretimlerini takip edebilmek için sertifika şeffaflık kayıtlarını izlemelerini ve yetkisiz kurumların sertifika üretmesini engelleyen CAA kayıtlarını yapılandırmalarını tavsiye etti.
Neden önemli?Yetkisiz TLS sertifikaları, trafiği sahte sunuculara yönlendirme ve şifreli bağlantıları taklit etme riski oluşturarak internet güvenliğini tehdit ediyor.
Cevabı beklenen sorular
- Saldırıdan etkilenen diğer büyük küresel markaların ve internet servislerinin hangileri olduğu açıklanacak mı?
- Üretilen sahte sertifikaların kaç kullanıcıya yönelik aktif bir yönlendirme veya dinleme saldırısında kullanıldığı tespit edilebilecek mi?
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
