Microsoft, eMudhra Kaynaklı Risk Nedeniyle Yedi Sertifikayı Güven Listesinden Çıkarıyor
Microsoft, eMudhra’ya ait sekiz ara sertifika otoritesi (CA) özel anahtarının güvenliğinin ihlal edilmesi üzerine Windows ve Edge için ek korumalar devreye aldı. Etkilenen anahtarların altısıyla TLS, ikisiyle kod imzalama sertifikaları ilişkili. Anahtarların ele geçirilmesi, güvenilir bir CA tarafından verilmiş gibi görünen sertifikalar oluşturulmasına veya içerik imzalanmasına yol açabilir. Microsoft, olayın kendi sistemlerinden değil eMudhra’nın sertifika hiyerarşisinden kaynaklandığını belirtiyor.
İlk korumalar 20 Ekim’de yayımlandı
Microsoft, 20 Ekim’de Windows Disallowed Certificate Trust List güncellemesini yayımlayarak etkilenen CA’ları engellemeye başladı. Ayrıca Microsoft Edge ve WebView2 için ayrı bir CRLSet güncellemesi dağıtıldı. Bu güncelleme, etkilenen CA’ların imzaladığı TLS sertifikalarını engelliyor ve Edge’in bileşen güncelleme mekanizması üzerinden otomatik olarak iletiliyor. Kullanıcıların bunun için yeni bir tarayıcı sürümü yüklemesi gerekmiyor.
Windows güven listesinde yedi sertifika kaldırılıyor
Microsoft, 26 Ekim’de yayımladığı out-of-band Windows güncellemesiyle etkilenen sertifika hiyerarşileriyle ilişkili yedi sertifikayı Windows güven listesinden çıkardı. Bunlar altı eMudhra G3 root sertifikası ve bir AAA Certificate Services cross-sign sertifikasından oluşuyor. Aynı yedi sertifikanın Microsoft Edge güven listesinden de 27 Ekim’de kaldırılması planlanıyor.
Güven listesinden root sertifikası kaldırılması, bilinen ve etkilendiği belirlenen ara CA sertifikalarının iptal edilmesinden farklı bir işlem. Bu değişiklik, belirli anahtarları engellemenin ötesinde, ilgili sertifika hiyerarşilerine yönelik daha geniş kapsamlı bir güven kararı niteliği taşıyor. Belirli bir uyumluluk ihtiyacı olan kuruluşlar, kendi güvenlik değerlendirmeleri ve politikaları doğrultusunda bir sertifikayı yerel olarak güvenilir sayabilir. Ancak risk değerlendirmesi yapılmadan etkilenen hiyerarşiye yeniden güven verilmemesi gerekiyor.
Microsoft, diğer eMudhra root sertifikalarını ayrıca değerlendiriyor. Müşterilerin etkilenen hiyerarşilerden geçiş sürecine göre ek değişiklikleri aşamalı olarak duyuracağını belirtiyor.
Kuruluşların alması gereken önlemler
- Windows sertifika güven güncellemelerinin ve Edge bileşen güncellemelerinin cihazlara ulaşmasına izin verin.
- Otomatik güncelleme alamayan, ağdan izole Windows cihazlarda güncel Disallowed Certificate Trust List ve güven listesi değişikliklerinin dağıtıldığını doğrulayın.
- İnternet bağlantısı olmayan Azure VM Scale Sets (VMSS) veya tekil sanal makineler için güncel Azure Marketplace imajlarını inceleyin ve uygun imajları dağıtın.
- Sertifika envanterinizi tarayarak kaldırılacak yedi sertifikadan birine zincirlenen sertifikaları belirleyin. Değişiklikler cihazlara ulaşmadan önce alternatif bir güven zinciri veya yeni sertifika edinin.
Microsoft, olayın kapsamını incelemeyi sürdürüyor. Ek bulgular veya güven listelerinde müşterileri etkileyebilecek yeni değişiklikler ortaya çıkarsa mevcut duyuruyu güncelleyeceğini bildiriyor.
