Bu yıl içerisinde DNS servislerinde ve Internet Explorer'da çıkan iki nemli açıklığa ek olarak güvenilir Sertifikasyon Makamları tarafından imzalanmış gibi gzüken sertifikaların üretilmesinin mümkün olduğunu gsteren bir çalışma gerçekleştirildi. MD5 algoritması kullanılarak imzalanmış sertifikalar açıklığın temelini oluşturuyor. Web sayfalarına erişimde de kullanılan dijital sertifikaları içeren açık anahtar altyapısında bir açıklık 30 Aralık 2008 tarihinde Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik ve Benne de Weger tarafından yayınlanmıştır. Konseptin ispatı için yaygın olarak kullanılan web tarayıcılarında "güvenilir" olarak bilinen bir CA tarafından imzalanmış gibi grünen sahte bir sertifika üretilmiş ve uygulamalı saldırı senaryolarını gerçeklemişlerdir. Bu zayıflık MD5 kriptografik zet algoritmasının farklı mesajlardan aynı MD5 zeti üretmesine dayanmaktadır. 2004 yılında MD5 ın kırıldığı açıklanmış, 2007 yılında teorik CA saldırısı yayınlanmıştır. Yapılan açıklamada MD5 ile imzalanmış sertifikaların sahtelerinin üretilebileceği belirtilmiştir. Mevcut web tarayıcılarında bulunan "Güvenilir Kk Sertifikasyon Makamları" "Trusted Root Certification Authorities" arasında halen MD5 ile imzalanmış sertifikalar mevcuttur. Bu sertifikaların taklitleri ile imzalanmış sahte "diğer" sertifikaları web tarayıcıları asıllarından ayırt edemeyecek ve güvenilir web sitesiymiş gibi kullanıcıya sunacaktır. Açıklığı duyuran grup birçok web tarayıcısı üreticisine durumu ilettiklerini açıklamıştır. Web tarayıcısı üreticileri de çok kısa zamanda nlemlerini alacaklarını belirtmişlerdir. Şu an mevcut bir yama bulunmamaktadır. Fakat ilerleyen tarihlerde yayınlanacak yamalar için kullanıcıların işletim sistemi ve web tarayıcı programlarını güncel tutmaları gerekmektedir. Normal şartlarda kullanıcılar bağlandıkları web sayfasının kullandığı sertifikayı grebilirler, üst sertifika sağlayıcılarının sertifikalarını da izleyebilirler. Aşağıdaki ekran grüntülerinde bir web sayfasının sertifikasının detaylarına nasıl bakılacağını gstermektedir. Bununla birlikte kimi sertifikalarda MD5 kullanımının tespiti bit seviyesinde yapılabilmektedir ve kullanıcı dostu bir arayüzle gzlemlenebilmesi mümkün değildir . Dolayısı ile standart kullanıcının standart yntemlerle bir şey fark etmesi %100 mümkün değildir. Bu hususta nleyici tedbirlerin alınması gereklidir. Bu tedbirler de sertifika makamları, web tarayıcısı ve işletim sistemi üreticileri tarafından alınmalıdır. Şekil 1. Microsoft IE 7.0 da sertifika detaylarının incelenmesi Şekil 2. Mozilla Firefox 3.0.3 te sertifika detaylarının incelenmesi Şekil 3. SHA1 ile imzalı sertifika rneği Şekil 4. MD5 ile imzalı sertifika rneği REFERANS: MD5 considered harmful today, http://www.win.tue. nl/hashclash/rogue-ca/ Microsoft Security Advisory, http://www.microsoft.com/technet/security/advisory/961509. mspx MD5 Weaknesses could lead to certificate forgery, http://blog.mozilla.com/security/2008/12/30/md5-weaknesses-could-lead-to-certificate-forgery/ MD5 Collisions Presentation, http://www.phreedom.org/research/rogue-ca/md5-collisions-1.0. ppt Demonstration, https://i. broke. the. internet. and. all. i. got. was. this. t-shirt. phreedom. orgKaynak:BilgiGüvenliği

bi sertifikalar hacklenmemişti oda oldu :) Sanıyorum kendi ataszümü yaptım, kaynak belirterek kullanabilirsiniz. 10.05.2013 tarihli google arama sonucu : Aradığınız - "herşeyin hayırlısı rampanın bayırlısı" - ile ilgili hiçbir arama sonucu mevcut değil. Not : Syleyeni belli olduğu için ataszü değil, zlüsz oluyormuş, dolayısı ile kendi zlüszümü yapmış oldum :)

SSL 32 ve üstü güvenlik sertifikalarının güvenliğinin çok daha nce geçilebildiğini biliyorduk bi de bu tamamdır artık. Sertifika ile güvenlikmi olur zaten :) Bilgi güçtür, düşmanını barışa zorlar.