WoSign CA Free SSL Certificate G2 için Güven Engelleme
WoSign sertifika verme yetkilisi (CA), WoSign CA Free SSL Certificate G2 alt kök CA için sertifika verme işlemlerinde birçok denetim hatası ile karşılaştı. Apple'ın güvenilir kökler listesinde WoSign kökü bulunmasa da bu alt kök CA, Apple ürünlerinde güven oluşturmak için StartCom ve Comodo ile karşılıklı imzalanmış sertifika ilişkileri kullanıyordu.
Bu bulgular ışığında, kullanıcılarımızı korumak üzere bir güvenlik güncellemesinde bu konuyla ilgili işlemler gerçekleştirdik. Apple ürünleri artık WoSign Ca Free SSL Certificate G2 alt kök CA'ya güvenmiyor.
Mevcut WoSign sertifikası sahiplerinin olumsuz etkilenmemesi ve güvenilir köklere geçiş yapabilmesi için Apple ürünleri, bu alt kök CA tarafından verilen ve 19.09.2016 tarihine kadar genel Sertifika Şeffaflığı günlüğü sunucularında yayınlanan mevcut bireysel sertifikalara güvenir. Süresi dolana, iptal edilene veya Apple'ın kararıyla güvenilir olmadığı duyurulana kadar bu sertifikalara güvenilmeye devam edilecektir.
Araştırma devam ederken kullanıcıları korumak için, Apple ürünlerindeki WoSign/StartCom güven çıpalarıyla ilgili olarak gerekli başka işlemler gerçekleştireceğiz.
WoSign'a yönelik ek adımlar
Ek incelemelerden sonra, WoSign sertifika verme yetkilisinin (CA) çalışmasında ortaya çıkan birçok denetim hatasının yanı sıra WoSign'ın, StartCom'u satın aldığını açıklamadığını tespit ettik.
Kullanıcıları yakında kullanıma sunulacak bir güvenlik güncellemesiyle korumak üzere ek önlemler üzerinde çalışıyoruz. "Not Before" (Başlangıç) tarihi 1 Aralık 2016 00:00:00 GMT/UTC veya daha sonraki bir tarihse Apple ürünleri, WoSign ve StartCom kök CA'larından gelen sertifikaları engelleyecektir.
Güven ve sertifikalar hakkında
Aşağıda listelenen bir iOS Güvenli Mağaza'da üç farklı kategoride sertifika bulunur:
- Güvenilir sertifikalar, güvenilir kökler tarafından imzalanmış diğer sertifikaların doğrulanmasında kullanılan bir güven zinciri oluşturur (örneğin, bir web sunucusuyla güvenli bir bağlantı kurmak için). BT yöneticilerinin iOS için Konfigürasyon Profilleri oluştururken bu güvenilir kök sertifikalarını eklemesine gerek yoktur.
- Her Zaman Sor sertifikaları güvenilir değildir, ancak engellenmez. Bu sertifikalardan biri kullanıldığında sertifikaya güvenip güvenmemeyi seçmeniz istenir.
- Engellenmiş sertifikaların güvenlik riski taşıdığı kabul edilir ve bunlara hiçbir zaman güvenilmez.
iOS Güvenli Mağaza
- iOS 12, macOS 10.14, watchOS 5 ve tvOS 12'deki güvenilir kök sertifikaların listesi
- iOS 11'deki güvenilir kök sertifikaların listesi
- iOS 10'daki güvenilir kök sertifikaların listesi
- iOS 9'daki kullanılabilir güvenilir kök sertifikaların listesi
- iOS 8'de mevcut olan güvenilir kök sertifikalarının listesi
- iOS 7'de mevcut olan güvenilir kök sertifikaların listesi