SSL sertifikaları, web sitelerinden ve API’lerden mobil uygulamalara, dahili araçlara ve CI/CD boru hatlarına kadar her yerde kullanılır. Çoğu takım önemli olduklarını bilirken, genellikle onları iyi yönetmezler.
Sertifikalar genellikle bir şey kırılana kadar unutulur. Süresi dolmuş, kötüye kullanılırlarsa veya izlenmezlerse, saldırganlar için kolay hedeflere dönüşürler.
Onları ele alırken küçük bir hata, kimlik avı saldırılarına, ortadaki insan saldırılarına ve hatta sessiz kötü amaçlı yazılım dağılımına yol açabilir.
Son on yıldaki en ciddi güvenlik olaylarından bazıları sertifika yanlış yönetiminden kaynaklandı.
Altyapı daha karmaşık hale geldikçe, sertifikaların üstünde kalmak artık operasyonel bir sorun değil, aynı zamanda bir güvenlik önceliğidir.
Sertifika yanlış yönetim neye benziyor?
Sertifika yanlış yönetimi her zaman bariz bir başarısızlık olarak ortaya çıkmaz. Genellikle, asla emekli olmayan küçük bir test sertifikası veya kendi kendine imzalanmış bir sertifika kullanarak dahili bir araçla başlar.
Örneğin, kullanıcılar kafa karıştırıcı hatalar görebilir ve arka uç uygulamanızın sertifikanız sona erdiğinde sizi bilgilendirecek bir uyarı tetikleyici mekanizması olmaması durumunda hizmetleriniz azalabilir.
Takımlar zamanla bu tür sorunlara duyarsızlaşır ve bunlara kritik sinyallerden ziyade uyarı işaretleri veya rutin gürültü olarak davranırlar.
Kendine imza atan bir sertifika kullanmak, sunucunun kimliğini doğrulamadığı ve saldırganlar tarafından kolayca sahte olabileceği için özellikle risklidir.
Unutulmuş alt alanlar veya geçerli X.509 dijital sertifikaları olan eski hizmetler de aynı derecede tehlikelidir. Saldırganlar onları bulursa, bunları çok fazla şüphe yaratmadan kimlik avı sitelerine veya kötü amaçlı yönlendirmelere ev sahipliği yapmak için kullanabilirler.
Başka bir sorun, özel anahtarları döndürememesidir. Bir anahtar hizmetler arasında yeniden kullanılırsa veya yıllarca değiştirilmediyse, tüm kurulumunuzu tehlikeye atmak için bir sızıntı yeterlidir.
Bu genellikle görünürlük veya otomasyon olmadığında olur. Merkezi bir envanter olmadan ve oyunda manuel süreçlerle hatalar gerçekleşmesi gerekir.
Sertifika yanlış yönetim belirtileri:
- Kimsenin fark etmeden süresi dolmuş sertifikalar.
- Canlı veya dışsal ortamlarda kendi kendine imzalanmış sertifikaların kullanılması.
- Test veya dahili sertifikalar unutulmuş ancak halka açık olarak erişilebilir.
- Zayıf, yeniden kullanılan veya kaynaklanmamış özel anahtarlar.
- Merkezi envanter veya sertifika yaşam döngüsünün izlenmesi yok.
- Yenileme ve iptal süreçleri için otomasyon eksikliği.
Kimlik avı saldırıları Sertifika boşluklarını sömürmek
Kimlik avı teknikleri daha sofistike hale geldikçe, kötü yazılmış e -postaların ve şüpheli bağlantıların çok ötesine geçtikçe sertifika boşlukları giderek daha fazla kullanılmaktadır.
Tarayıcıya güven, modern kullanıcıların bunu güvenlik ile ilişkilendirdiğini bilen saldırganlar tarafından yararlanıyor.
Görünen alanlar, daha sonra onlar için etki alanı doğrulama sertifikaları alan saldırganlar tarafından kaydedilen meşru hizmetleri taklit etmek için hazırlanmıştır.
DV sertifikaları, kuruluşun meşruiyetini değil, yalnızca bir alan adı üzerindeki kontrolü onayladığından, hızlı ve edinilmesi kolaydır.
Sonuç olarak, kimlik avı sitelerinin, güven verici güvenli işaretle tamamlanan geçerli HTTPS bağlantılarına sahip olduğu görülüyor ve kullanıcıları güvenli olduklarına inanmak için kandırıyor.
Terk edilmiş veya kullanılmayan alt alanlar için geçerli sertifikalar, özellikle kuruluşlar eski veya test ortamlarında sertifika envanterlerini takip ettiklerinde saldırganlar için sessizce tehlikeli fırsatlar yaratabilir.
Bu alt alanlar düzgün bir şekilde hizmet dışı bırakılmazsa, kimlik avı sayfalarına ev sahipliği yapılabilir ve haftalar hatta aylarca tespit edilmezler.
Geçerli bir sertifikanın varlığı, tespiti daha da zorlaştırarak yanlış bir güvenlik duygusu ekler. Geliştiricilerin kolaylık için kendi kendine imzalanmış sertifikalara güvendiği dahili takımlar da göz ardı edilir.
Bu uygulama, özellikle çalışanların bu araçlara kurumsal ağ dışından eriştiği hibrid veya uzak kurulumlarda iç kimlik avı risklerini tamamen açık bırakır.
Tüm bunları birbirine bağlayan şey, kullanıcının HTTPS tarafından güvence altına alındığı görülen herhangi bir şeye örtük güven.
Saldırganlar, çoğu kullanıcının sertifika türleri arasında ayrım yapmadığını veya DV, OV veya EV’nin gerçekten ne anlama geldiğini anladığını anlıyor. Sadece bir asma kilit görüyorlar ve devam ediyorlar.
Sertifika görünürlüğü, uyarı ve yaşam döngüsü yönetimi olmadan, kuruluşlar bilmeden bu zayıf noktaları açık bırakarak saldırganlara sadece ihtiyaç duydukları fırsatı verir.
Sertifika Yanılsaması Nasıl MITM saldırılarını körükler?
Ortadaki adam veya MTM saldırıları genellikle saldırganların inanılmaz derecede sofistike olduğu için değil, temel bilgiler göz ardı edildiği için başarılı olur. Ortak bir sorun süresi dolmuş sertifikalardır.
Kullanıcılar tarayıcı uyarılarını özellikle dahili sistemlerde çok sık gördüklerinde, düşünmeden tıklama eğilimindedirler. Zamanla, bu davranış onları gerçek riskleri görmezden gelmek için eğitir.
Bu küçük bir alışkanlık bir saldırganın en büyük avantajı olabilir.
Sızan veya çalınan sertifikalar yeniden düzenlenmeden veya özel anahtarlar düzenli olarak döndürülmediğinde meşru hizmetlerin kimliğine bürünmesi mümkün olur.
Kamu Wi-Fi veya paylaşılan ağlarda, özellikle dahili araçlar veya VPN’ler arasında kendi kendine imzalanmış sertifikalar veya uyumsuzluklar nedeniyle trafik müdahalesi kolaylaşır.
Eski veya iptal edilmiş sertifikaların kabulü, eski sistemlerde uygun doğrulama olmadan hala yaygındır ve bilmeden saldırganlara serbest geçiş sağlar.
Bu güven boşlukları, MITM saldırılarının tam olarak bağlı olduğu şeydir. Ve zamanla, güvenli bağlantılar çok az çaba ile yakalanabilir veya taklit edilebilir.
Sertifika yönetimi MITM saldırılarını nasıl mümkün kılıyor:
1. Kullanıcılar süresi dolmuş sertifikalara alışır
Kullanıcılar, dahili araçlardaki süresi dolmuş sertifikalara düzenli olarak maruz kaldıklarında ve tarayıcı uyarılarını göz ardı etmeye alıştıklarında gerçek kimlik avı ve MITM saldırılarına karşı daha savunmasız hale gelir.
2. çalınan veya kaynaklanmamış özel anahtarlar
Özel anahtarlar sistemler arasında sızdırılır veya yeniden kullanılırsa, güvenilir hizmetlerin kimliğine bürünmesi ve hassas verilerin engellenmesi mümkün olur.
3. Kendine imza atan sertifikalar ve uyumsuzluklar
Dahili ortamlar genellikle kendi kendine imzalanmış sertifikalar kullanır veya ana bilgisayar adı uyuşmazlıklarına izin verir. Bunlar, saldırganların, özellikle Havaalanı Wi-Fi gibi kamu veya ortak ağlarda parodi olması kolaydır.
4. Revoked sertifikalar geçerli kalır
Eski sistemler genellikle sertifika iptal listelerini kontrol eder. Bir sertifikanın tehlikeye atıldığı bilinse bile, yine de güvenilir olabilir.
Sertifika yanlış yönetiminden kaynaklanan gerçek olaylar
Güvenlik ihlalleri ve hizmet kesintileri, son on yıldaki en büyük başarısızlıkların bazılarının merkezinde sessizce oturan göz ardı edilen sertifika sorunlarından kaynaklanmıştır.
Equifax durumunda, bir trafik denetim aracındaki tek bir süresi dolmuş sertifika nedeniyle 76 günlük tespit edilmemiş şüpheli etkinlik gerçekleşti.
Benzer bir olay, 2020’de, küresel bir Microsoft Teams kesinti sona erdiğinde ve süresi dolmuş SSL sertifikası nedeniyle meydana geldi ve milyonlarca kullanıcıyı etkiledi.
Hiçbir veri tehlikeye girmedi, ancak her iki vaka da sertifikalar yanlış yönetildiğinde kırılgan sistemlerin nasıl olabileceğini gösterdi.
Sertifika işlenmesi nedeniyle büyük saldırılarda gizli kalıcılık ve güvenilir yazılımın görünümü mümkün olmuştur.
Stuxnet olayında, kötü amaçlı yazılım çalınan dijital sertifikalar kullanılarak imzalandı ve bu da tespitten kaçınmasına izin verdi.
Benzer şekilde, Solarwinds ihlalinde, uzun vadeli erişimi sürdürmek için tehlikeli sertifikalarla kötü amaçlı güncellemeler imzalanmıştır.
Her iki durumda da, sertifikalar sadece saldırı stratejisinin önemli bir parçası oldukları göz ardı edilmedi. Bu örnekler, sertifika güvenliğinin onları saldırganlar için güçlü araçlara dönüştürebileceğini göstermektedir.
Bunu önlemenin basit yolları
Sertifikanın yanlış yönetilmesini sabitleme tam bir revizyon gerektirmez, ancak biraz yapı ve doğru takım gerektirir.
1. Merkezi bir sertifika envanterini koruyun
Kör lekelerden kaçınılabilir ve evreleme, dahili araçlar ve eski alt alanlar dahil olmak üzere ortamlardaki her sertifika düzgün bir şekilde izlenirse unutulmuş sertifikalar algılanabilir.
Tek bir gerçek kaynağı olduğunda daha hızlı denetimler ve daha az sürpriz mümkündür. Elektronik tablolar başlangıçta çalışabilirken, otomatik keşif araçları takım ölçeği olarak kullanılmalıdır.
2. Yenilemeleri ve iptali otomatikleştirin
ACME protokolü kullanılarak otomasyon yoluyla zamanında yenilemeler ve azaltılmış insan hatası garanti edilebilir.
Saldırı yüzeyi en aza indirilir ve uzlaşma süreleri, uzlaşmış sertifikalar manuel müdahaleye bağlı olmadan derhal iptal edilebildiğinde karşılama zaman çizelgeleri daha kolay hale gelir.
3. Son kullanma son kullanma uyarıları ayarlayın ve anahtarları düzenli olarak döndürün
Son kullanma tarihlerinden önce uyarıları iyi uygulayın. Özel tuşları periyodik olarak döndürün ve tehlikeye atılırsa patlama yarıçapını sınırlamak için güvenli bir şekilde saklayın.
Birçok kuruluş, sızdırılabilecek eski veya paylaşılan anahtarları göz ardı eder. Proaktif uyarılar ve rotasyon politikaları insan belleğine bağımlılığı azaltır ve kripto hijyeninizi güçlendirir.
4. Monitör Sertifikası Şeffaflık Günlükleri
Etki alanlarınız için verilen haydut sertifikaları izleyin. Censys veya Crt.sh gibi hizmetler ekosisteme göz kulak olmayı kolaylaştırır.
CT günlükleri, meşru bir CA tarafından verilse bile beklenmedik veya şüpheli sertifikaları keşfetmenize yardımcı olur. Bu erken uyarı sistemi, kötüye kullanımı erken tespit etme veya hiç olmayan arasındaki fark olabilir.
5. Sertifika yaşam döngüsü yönetim araçlarını benimseyin
Venafi TLS Protect, Digicert Trust LifeCcle Manager, GlobalSign Atlas veya Sectigo SCM Pro gibi araçlar, özellikle yüzlerce sertifikayı yöneten kuruluşlarda ihraç, yenileme ve iptali ele almak için kullanıldığında kolaylaştırılmış sertifika yönetimi mümkün olur.
Bu tür araçlar mevcut olduğunda daha kolay politika uygulama ve erişim kontrolü de sağlanabilir. Gölge riskini azaltırlar ve güvenlik ekiplerine gerçek bir görünürlük kazandırırlar. Zamanla, güvenilirliği artırırken çaba tasarrufu sağlarlar.
Son Düşünceler
Sertifika sorunları genellikle bir şey kırılana veya sömürülene kadar fark edilmez. Teknik bir sorundan daha fazlası, örgütsel bir zorluk.
Takımlar sertifikalara “ayarlayın ve unut” görevi gibi davrandıklarında, sorunlar yığılmaya başlar. Kaçırılan yenilemeler kesintilere neden olabilir ve unutulmuş alt alanlar kimlik avı alanlarına dönüştürülebilir.
Sertifika ihmalinin maliyeti artmaya devam ediyor, ancak tersi bu sorunların düzeltilebilir olması. Daha iyi görünürlük, otomasyon ve biraz açık çaba ile takımlar önde kalabilir.