Birçok web tarayıcısı HTTPS(Güvenli Zenginmetin İletişim Protokolü) protokolünü desteklemektedir. Bir grup araştırmacı serifikasyon algoritmasındaki bir açıklıktan yararlanarak web tarayıcılar tarafından onaylı gibi görünen sahte sertifikalar üretmeyi başarmıştır.
Kaynak:
Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik, and Benne de Weger
Birçok web tarayıcısı HTTPS(Güvenli Zenginmetin İletişim Protokolü) protokolünü desteklemektedir. Bu protokol çeşitli seviyelerde güvenlik sağlamaktadır. Bu güvenlik önermelerinden birisi karşımıza çıkan web sitedinin gerçekten de aradığımız web sitesi olup olmadığını genel-anahtar şifreleme ile belgeleyebilmesidir. Böyle bir şifrelemede sertifikalar doğrulama için kullanılmaktadır. Sertifikalar MD5, SHA gibi algoritmalar kullanarak imzalanırlar. Bu sertifikalar web tarayıcılar tarafından Sertifikasyon Makamları aracılığıyla tanınırlar. MD5 algoritmasında bir açıklık olduğu biliniyordu ancak açıklıkla ilgili bir gerçekleme yapılamamıştı. Bir grup araştırmacı bu açıklıktan yararlanarak web tarayıcılar tarafından onaylı gibi görünen sahte sertifikalar üretmeyi başardı. Bu sertifikayı kullanan bir saldırgan, kurbanını kendi sitesine yönlendirerek onun gerçek site olduğuna inandırabilir. Örneğin bir bankacılık sitesinde, siz o bankaya eriştiğinizi zannederek saldırganın tuzağına düşersiniz. Ve sitenin sertifikası tanınmış sertifikalar arasında da yer alır. Bilinen verilere göre mevcut sertifikaların %14 ü bu açıklığı bulunduran algoritma ile oluşturulmuştur.
Etki:
Phishing vb bilgi hırsızlığı saldırıları
Çözüm:
Firefox tarayıcılar için sahte sertifikaları denetleyen bir eklenti yayınlanmıştır:
http://codefromthe70s.org/sslblacklist.aspx
MD5 yerine SHA sertifikalar üretilmesi sorunun çözümüne yardımcı olacaktır.
Orta