CA sertifikası nedir ve nasıl çalışır?

Son zamanlarda, Kazakistan hükümeti vatandaşları geçici olarak devletin ortadaki bir adam saldırısında tüm içeriğin ve iletişimin şifresini çözmesine izin veren bir Sertifika Yetkilisi (CA) kurmaya zorladı.

Sertifika, hükümetin verileri değiştirmesine ve kullanıcıları virüsleri ve casus yazılımları çalıştırıp indirmeleri için kandırmasına izin verdi. Kazakistan hükümetinin girişimi şimdilik başarısız olmuş olabilir, ancak tehdit gerçek.

Sertifika yetkilileri açıkladı

Sertifika yetkilisi, bir web sitesinin, sunucuları ve sizinle veri şifrelemesi sırasında söylediği şey olduğunu doğrular. CA, web sitesinin her açılışında kullanıcıya sunulan şifreleme sertifikasını imzalayacaktır..

Tarayıcı ve işletim sistemi satıcıları, tüm web sitelerinin sahipliğini kendi başlarına doğrulayamazlar, bu nedenle bunu bir dizi güvenilir CA’ya devredebilirler. Sertifikaların yalnızca bir alanın hak sahibine verildiğinden emin olmak için tüm CA’ların süreçleri ve kontrolleri olmalıdır.

Örneğin, bankanızın web sitesini ziyaret ederken, bir taklitçiyi değil, bankanızın web sitesini gerçekten kullandığınızdan emin olmak istersiniz. Böylece tarayıcınız, web sitesi tarafından sunulan sertifikanın güvenilir bir CA tarafından verilip verilmediğini kontrol edecek ve böylece gerçekten doğru siteyi kullandığınızı kanıtlayan bir “güven zinciri” oluşturacaktır..

Geçmişte, tarayıcı ve işletim sistemi satıcılarının sertifikaları alma konusunda yetersiz veya kötü niyetli olduklarını kanıtladıkları için CA’lardan hakları aldıkları birkaç durum vardı. Sertifika yetkilisi ulus devletler veya bilgisayar korsanları gibi başkaları için istek imzalarsa, sistem çalışmaz.

Bilgisayarınız önceden yüklenmiş bir dizi sertifika yetkilisiyle birlikte gelirken, Firefox kendi uzmanları tarafından incelenen kendi listesini kullanır. Kazakistan, kötü amaçlı sertifika yetkilisini Firefox’a dahil etmeye çalışıyor, ancak Mozilla kibarca reddetti. CA başka bir büyük tarayıcıya dahil değildir, ancak manuel olarak herhangi bir CA eklemek mümkündür. Tarayıcı geliştiricileri bu boşluğun farkındadır, bazıları kötü niyetli CA’ları kalıcı olarak engellemeyi ve kullanıcıların bunları yüklemelerini veya kısıtlamaları atlamasını imkansız kılmaktadır..

Sahte sertifika yetkilisi

Kazakistan hükümeti kendi sertifika yetkilisini oluşturarak ve kendisine istediği herhangi bir siteyi taklit etme yeteneği vererek bu önemli güven zincirini kaldırmaya çalışıyor.

Veri akışını kontrol ettiği sürece, herhangi bir sunucuyu “meşru” olarak sunabilir ve kimlik bilgilerinizi kimlik avı yapmak için kullanabilir. Örneğin, geçerli twitter.com sertifikası gerçekten Twitter’a bağlı olduğunuzu ve kullanıcı adınızı ve şifrenizi girmenin güvenli olduğunu kanıtlar. Ancak, bilgisayarınız sahte bir CA’ya güvenirse, başka biri Twitter olarak poz verirken bağlantınızı kendi sunucusuna yönlendirebilir.

HTTPS sertifikası nedir?

Köprü Metni Aktarım Protokolü Güvenli (HTTPS), web sitelerini şifrelemek için kullanılan bir protokoldür. HTTPS’yi destekleyen bir web sitesine (şu anda tüm sitelerin çoğunluğu) gittiğinizde, cihazınızla web sitesinin sunucusu arasında şifreli bir kanal oluşturulur ve aradaki kimsenin şifrelerinizi veya hassas bilgilerinizi okuyamamasını sağlar. Bu güvenlik önlemi genellikle tarayıcının adres çubuğundaki bir kilitle gösterilir.

Bilgisayarınızın bir klon yerine gerçek bir banka web sitesine bağlı olduğunu doğrulamak için HTTPS sertifikası bir CA tarafından imzalanır. Siteye gittiğinizde, sunucu yetkilinin ziyaret etmeye çalıştığınız web sitesine ait olduğunu doğruladığını gösteren bir elektronik imza sunacaktır..

HTTPS, devredilmediğinde çok güvenilir olduğundan, web sitelerinin ve uygulamaların büyük çoğunluğu, verilerin aktarımında güvenli kalması için yalnızca HTTPS tarafından sağlanan güvenliğe güvenir.

Şifreleme işleri

HTTPS kadar basit şifrelemenin çevrimiçi güvenlik ve gizlilik üzerinde derin bir etkisi olabilir, bu yüzden otoriter rejimler saldırıya eğilimlidir.

Özellikle güvenilmez yasal sistemlere ve iktidara karşı hesap verebilirlik eksikliğine sahip ülkelerde, özel verilerimize erişimi olan hükümetlere güvenemeyiz. Sayısız örneğin gösterdiği gibi, özel bilgiler (kredi kartı bilgileri ve özel mesajlar gibi) bölgesel departmanların eline, daha sonra bireysel görevlilere ve nihayetinde toplumun istikrarını tehdit ettiği organize suçlara damlar..