Google, bilgisayar korsanlarının güvenlik sertifikalarını sahtelediğini açıkladı

Google, Salı günü yaptığı açıklamada, saldırganların üç ülke kodlu üst düzey alan adının kontrolünü ele geçirdiğini ve bu erişimi kullanarak Google'a ait birkaç alan adı ile diğer büyük markalar ve yaygın kullanılan çevrimiçi hizmetler için yetkisiz TLS sertifikaları almak amacıyla kullandığını belirtti. Saldırılar .gh (Gana), .sl (Sierra Leone) ve .as (Amerikan Samoası) alan adlarını hedef aldı.arstechnica+1

Alphabet ↗ 0.22% bünyesindeki Google, Chrome'u yetkisiz olarak tanımladığı tüm sertifikaları engelleyecek şekilde güncellediğini açıkladı. Şirket ayrıca, Google mülkleri için verilen sertifikaların iptal edilmesi amacıyla bunları düzenleyen sertifika otoriteleriyle birlikte çalıştı. Şirket, hangi alan adlarının etkilendiğini, dahil olan diğer kuruluşların isimlerini veya kaç sertifikanın düzenlendiğini açıklamadı.ua+1

Saldırı nasıl gerçekleşti

Ars Technica'ya göre, saldırganlar üç kayıt kuruluşu altındaki seçili alan adları için yetkili DNS kayıtlarını değiştirdi. Bu kayıtların kontrolünü ele geçirerek, sertifika otoritelerinin bir sertifika düzenlemeden önce yürüttüğü otomatik alan adı kontrol doğrulama testlerini geçtiler. Google, etkilenen alan adı sahiplerinin kendi altyapılarının tehlikeye girmediğini ve sertifika otoritelerinin kurallara uyduğunu belirtti. Bölgelerin kontrolü, saldırganların IP adreslerini ve isim sunucusu delegasyonlarını değiştirmesine olanak tanıdı, böylece trafiği yönlendirebildiler ve doğrulama taleplerine yanıt verebildiler.arstechnica+1

Bir TLS sertifikası, bir alan adını bir genel anahtara bağlamak için dijital imza kullanır. Yetkisiz bir sertifikaya sahip olan biri, kriptografik olarak kendisini gerçek site gibi gösterebilir. Startup Fortune, alan adı doğrulamasının "sadece kontrol anında alan adını yönettiğinizi kanıtladığını", yönetmeniz gerekip gerekmediğini kanıtlamadığını belirtti.startupfortune+1

Google'ın alan adı sahiplerine tavsiyesi

Google, Chrome kullanıcılarının korunmak için herhangi bir şey yapmasına gerek olmadığını söyledi. Alan adı sahiplerini sadece tarayıcı tarafındaki engellemelere güvenmemeleri konusunda uyardı. Onlara, beklemedikleri sertifikalar için sertifika şeffaflık günlüklerini izlemelerini ve kısıtlayıcı Sertifika Otoritesi Yetkilendirme (CAA) DNS kayıtları yayınlamalarını tavsiye etti. Bu kayıtlar, alan adı sahibi DNS kontrolünü geri aldıktan sonra saldırganların önbelleğe alınmış doğrulama verilerini yeniden kullanmasını engeller.arstechnica

Tekrarlayan bir zayıflık

Bu olay, benzer bölümlerin devamı niteliğinde. Startup Fortune'a göre, 2026'nın başlarında Togo'nun .tg kayıt kuruluşu tehlikeye girdikten sonra google.tg için bir Let's Encrypt sertifikası düzenlenmişti. 2011 yılında, Hollandalı sertifika otoritesi DigiNotar'ı ihlal eden saldırganlar, google.com için bir joker sertifika sahtelemiş ve bunu İran'daki internet kullanıcılarına karşı kullanmışlardı. Google'ın tehdit araştırmacıları ayrıca, çalınan kimlik bilgilerini kullanarak birkaç ccTLD kayıt kuruluşundaki alan adlarını ele geçiren ve bunlar için sertifikalar alan Sea Turtle adlı bir kampanyayı da takip etmişti.startupfortune

Startup Fortune, "Bu olay OpenSSL'de bir sıfırıncı gün açığı veya kriptografik bir kırılma gerektirmedi," diye yazdı. "Bunun için yetersiz finanse edilmiş, yetersiz korunmuş bir devlet alan adı kayıt kuruluşu yeterliydi."startupfortune