S/MIME açık anahtar altyapısı test suiti tasarlanması ve e-posta uygulamarında sertifika doğrulama analizi
Design of S/MIME public key infrastructure test suite and certificate verification analysis in email applications
Yazar: YAĞMUR FİDANER
Danışman: PROF. DR. AYSUN COŞKUN
Gazi Üniversitesi / Fen Bilimleri Enstitüsü / Bilgi Güvenliği Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2024
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Günümüzde e-posta kullanımı bir ihtiyaç haline gelmiştir. Büyük bir kullanıcı kitlesine sahip olan e-postalar, kişisel amaçların yanı sıra iş dünyasında ekipler arasında iletişimi sağlama, kurum ve kuruluşların müşterilerle bağlantı noktası olma gibi işlevleri de yerine
getirmektedir. Hayatımıza nüfuz etmiş e-postalar veri ihlalleri, sızıntılar ve kötü niyetli
saldırıların da odağında yer almaktadır. E-posta güvenliğini sağlamada kullanılan açık
anahtar altyapısı temelli S/MIME sertifikaları ile dijital olarak imzalanmış ve şifrelenmiş e-posta gönderimi mümkündür. Büyük kuruluşlar tarafından sıklıkla kullanılan S/MIME
sertifikaları için var olan standartlar yeterli görülmemiş ve 2023 yılında ilk kez Sertifika Otoriteleri (Certificate Authority, CA) ve uygulama yazılım tedarikçilerinden oluşan ve uluslararası otorite kabul edilen Certificate Authority/Browser (CA/B) Forum tarafından S/MIME Temel Gereksinimler (Baseline Requirements, BR) dokümanı yayımlanmıştır.
Web güvenliğinde kullanılan SSL sertifikalarında CA'ların SSL sertifikaları için CA/B
Forum tarafından yayımlanan Temel Gereksinimler dokümanına uygunluk denetimi ile
güvenilirlik sağlansa da bu denetim yeterli görülmemiş ve SSL sertifikalarının izlenmesi ve
denetlenmesi için açık bir yapı sağlayarak sertifika verme sürecini korumayı amaçlayan
Sertifika Şeffaflığı projesi ile desteklenmiştir. Güvenilir S/MIME sertifikalarında ise
CA'ların kontrol mekanizması yalnızca BR denetimleri ile sınırlıdır. Çalışma ile e-posta
uygulamalarının sertifika doğrulama aşamasında BR'ye uygun olmayan sertifikalar
karşısındaki davranışlarını analiz etmeyi sağlayacak geniş kapsamlı bir S/MIME sertifikası
açık anahtar altyapısı tasarımı yapılmıştır. Tasarlanan altyapı test süiti olarak
oluşturulmuştur. Kurulan bu altyapı kullanılarak popüler e-posta uygulamaları test edilmiş
ve e-posta uygulamalarının zafiyetleri ve güvenlik açıkları ortaya çıkarılmıştır.

Abstract:
In contemporary discourse, the ubiquity of email has established its indispensability. With
widespread adoption, emails serve not only personal communication needs but also pivotal
functions in fostering inter-team communication within professional spheres and
establishing a nexus between organizations and their clientele. However, the prevalent use
of emails has given rise to concerns encompassing data breaches, leaks, and malicious cyber
threats. In addressing these security concerns, S/MIME certificates, founded on a public key infrastructure, afford the capability for the digital signing and encryption of email
communications. Nonetheless, prevailing standards for S/MIME certificates, frequently
utilized by major entities, have been adjudged as insufficient. Consequently, in 2023, the
Certificate Authority/Browser (CA/B) Forum, recognized as an international authority,
promulgated the S/MIME Baseline Requirements (BR) document, delineating a more
specific and robust set of guidelines in this domain. Simultaneously, despite the existence of the Baseline Requirements document by the CA/B Forum to ensure CA reliability for SSL
certificates in web security, skepticism has been voiced regarding the adequacy of this
auditing mechanism. Consequently, the initiation of the Certificate Transparency project
sought to fortify and monitor the certificate issuance process. This study, undertaken to
scrutinize the adequacy of the audit mechanism for reliable S/MIME certificates, entailed
the design and implementation of a comprehensive S/MIME certificate public key
infrastructure. Serving as a test suite, this infrastructure was applied to scrutinize popular email applications, thereby elucidating security vulnerabilities and weaknesses inherent in these applications.