Apple, güvenliği ihlal edilen eMudhra sertifikalarını engelledi
Apple, Hindistan merkezli sertifika otoritesi eMudhra’ya ait güvenliği ihlal edilmiş ara sertifikaları iPhone, iPad ve Mac’te otomatik olarak engellemeye başladı. Şirketin yayınladığı destek belgesine göre engelleme 19 Ekim’den bu yana uygulanıyor. Apple 23 Ekim’de ise bu sertifikaların bağlı olduğu emSign ECC Root CA - G3 kök sertifikasını da engellemeye başladı. Sıradan kullanıcıların herhangi bir işlem yapmasına gerek yok.
Sorun, bir güvenlik araştırmacısının 17 Ekim’de yaptığı bir kontrolle ortaya çıktı. eMudhra’ya ait sekiz ara sertifika otoritesinin özel anahtarları, sertifikaların kendisinden hesaplanabilecek kadar zayıftı. Normalde rastgele 384 bitlik bir sayı olması gereken bu anahtarların hepsi 256'dan küçük tam sayılardı. Bu sekiz otoriteden ikisi kod imzalama sertifikası veriyor; Apple’ın altyapısı bu sertifikalara zaten güvenmiyor. Diğer altısı ise web siteleri için TLS sertifikası veriyor. Apple’a göre bu altı otoritenin anahtarlarını ele geçiren biri, herhangi bir web sitesi için geçerli görünen sertifikalar üretebilir. Bu da sahte sitelerle trafiğin izlenmesine ya da değiştirilmesine yol açabilir. eMudhra ve Sectigo etkilenen sertifikaları iptal etti.
Etkilenen her TLS otoritesinin iki sertifikası bulunuyor. Bunlardan biri eMudhra’nın kendi kökü olan emSign ECC Root CA - G3'e, diğeri ise Sectigo’nun çapraz imzası ile AAA Certificate Services köküne bağlanıyor. Apple bu nedenle toplam 12 sertifikayı engelledi. Engelleme Safari, Mail ve Apple’ın ağ ve güvenlik altyapısını kullanan tüm uygulamalarda geçerli. Sertifika yapılandırma verileri cihazlara otomatik olarak gönderildiği için yazılım güncellemesi yüklemeye de gerek yok.
Mac’te ise bazı istisnalar var. macOS ve Xcode Command Line Tools ile gelen curl, git, python3, ruby, perl ve openssl gibi komut satırı araçları, sertifikaları /etc/ssl/cert.pem dosyasına göre denetliyor. Bu araçlar Apple’ın engellemesini ve sertifika iptallerini kontrol etmiyor. Apple, bu dosyanın ileriki bir macOS güncellemesiyle düzeltileceğini açıkladı.
Güncellemeyi beklemek istemeyen sistem yöneticileri, Apple’ın destek belgesindeki adımları izleyerek ilgili kök sertifikaları bu dosyadan elle kaldırabiliyor. Kendi kök sertifika listesini kullanan üçüncü taraf uygulamalar için ise Apple, kullanıcıların uygulama geliştiricisiyle iletişime geçmesini öneriyor.
Önlem alan tek şirket Apple değil. Chrome ve Firefox sertifikaları 17 Ekim’de, Microsoft ise 20 Ekim’de engellemeye başladı. Mozilla ve Google, eMudhra’nın kök sertifikasını da güven listelerinden kaldırıyor. eMudhra, sorunun yalnızca bu ara sertifikalarla sınırlı olduğunu ve kök sertifikanın özel anahtarlarının etkilenmediğini açıkladı. Şirket, yaklaşık 30 bin müşteri sertifikasının yenilenmesi gerektiğini tahmin ediyor. 21 Ekim itibarıyla zayıf anahtarların kötüye kullanıldığı yaygın bir saldırı tespit edilmedi.
