Btnet / Bilişim / EGO, TÜRKTRUST, Google ve diğerleri: Sertifika krizinin arka yüzü [Özel Haber]
Sertifika krizinin arka yüzü [Özel Haber]Dün gece Reuters Haber Ajansı tarafından paylaşılan haberde Ankaralı kamu kurumu EGO'nun sahte SSL sertifikalarını kullanarak çalışanlarını izlemeye çalıştığı iddiası Türkiye'nin internet gündemine bomba gibi düştü. Peki ama gerçekte neler olup bitiyor? Birinci elden topladığımız tüm bilgileri sizinle paylaşıyoruz.
Dün gece Reuters haber ajansı tarafından Türkiye'nin internetini doğrudan ilgilendiren bir haber yayınlandı. Haber özetle Ankara'nın ulaşımından ve altyapısından sorumlu kamu kurumu olan EGO'nun TÜRKTRUST'dan aldığı sertifikalarla çalışanlarını sahte Google sitelerine yönlendirdiğinden söz ediyordu. Bunun da çalışanların internetteki faaliyetlerinin izlenmesi amacıyla yapıldığı iddiasına yer veriliyordu.
Sertifikalar Google Chrome tarayıcısı tarafından algılanmış, diğer tarayıcıların da bu sertifikalara güvenmemesi için Google tarafından Mozilla ve Microsoft'a da bilgi verilmişti.
Diğer kurumlarda henüz algılanamamış benzer durumların da olabileceğine dair uyarı da haberde yer alan dikkat çekici noktalar arasındaydı.
TÜRKTRUST: “Olay iki adet hatalı sertifikadan kaynaklanıyor”
Bunun üzerine haberde adı geçen diğer kurumlardan EGO ve TÜRKTRUST'ı aradık. Kendisiyle görüştüğümüz TÜRKTRUST Genel Müdürü Tolga Tüfekçi son derece ilgili bir şekilde konuyu yakından takip ettiklerini ifade etti ve aşağıdaki basın açıklamasını bizlerle paylaştı:
TÜRKTRUST, 2005 yılından beri vermekte olduğu SSL sertifikası hizmetlerini, 20 Aralık 2011 tarihinde “ETSI TS 102 042 ESHS Yönetim Sistemi Standardı” uyarınca belgelendirmiş ilk ve tek yerli kuruluştur. TÜRKTRUST aynı zamanda, Microsoft Internet Explorer, Mozilla Firefox, Google Chrome, Opera, Apple Safari, Blackberry gibi pek çok internet tarayıcısı ve mobil cihaz üreticisinin güvenilir kök sertifika listelerine girmeyi başarmış tek Türk kuruluşudur.
“ETSI TS 102 042 ESHS Yönetim Sistemi Standardı” belgelendirme süreci içinde, Mayıs-Kasım 2011 tarihleri arasında sistemlerimizde iyileştirme ve geliştirme çalışmaları yürütülmüştür. Bu çalışmalar sırasında, yazılım güncelleme ve veri taşıma kusuruna bağlı olarak aynı üretim paketinde yer alan iki adet SSL sertifikasının Ağustos 2011’de hatalı olarak üretildiği Aralık 2012 tarihinde tarafımıza İnternet tarayıcıları tarafından yapılan bildirimle anlaşılmıştır. Bildirimin ardından geçerli olan sertifika derhal iptal edilmiş, tüm sistemlerimiz ayrıntılı biçimde incelenerek sorunun kaynağı kesin olarak saptanmıştır.
TÜRKTRUST’ın sahip olduğu ve 2011 Aralık ayından bu yana uluslararası standartlara uygunluğu belgelendirilmiş güçlü ve güvenilir teknik altyapısı, bu ve benzeri sorunların yeniden yaşanmasını kesin olarak engellemektedir. TÜRKTRUST, sadece ülkemizde değil dünyada da söz sahibi bir ESHS olma amacından en ufak bir sapma göstermeksizin çalışmalarına kesin bir kararlılıkla devam etmektedir.
Bugüne kadar olduğu gibi bundan sonra da, müşterilerimizin ve değerli Türk Kamuoyunun paha biçilmez desteği ve gösterdiği teveccüh en değerli varlığımızdır.
Aslında olup biten ne?
Şimdi burada neler olup bittiğini TÜRKTRUST İş Geliştirme Müdürü Atilla Biler'in bizimle ayrıca paylaştığı bilgiler ışığında kısaca özetleyelim.
TÜRKTRUST, Ağustos 2011 yılındaki sistem iyileştirme çalışmaları sırasında HTTPS uzantılı internet sitelerinin güvenilirliğini denetleyen SSL sertifikalarını üretirken hatalı içeriğe sahip 2 adet SSL sertifikası üretiyor. Bu sertifikalardan biri KKTC Merkez Bankası'na, diğeri EGO'ya gidiyor.
KKTC Merkez Bankası sertifikayı alır almaz kullandığı için sertifikanın hatalı olduğu o tarihlerde tespit ediliyor ve sertifika iptal ediliyor. EGO ise elindeki sertifikayı 1,5 yıl boyunca kullanmadan kenarda bekletiyor (güncelleme: bu sürede sertifika sadece kendi sistemleri dahilinde bulunan webmail servisinde kullanılmış.)
Daha sonra, 6 Aralık 2012'de EGO'nun sistemleri üzerinde yapılan bir firewall geçiş işlemiyle aynı tarihte EGO'ya TÜRKTRUST tarafından verilen sertifika aracılığıyla bir Google sertifikası üretiliyor. Google Chrome tarayıcısı da durumu fark ediyor ve raporluyor. Ardından da Reuters'in haberine konu olan süreç başlıyor.
TÜRKTRUST'ın verdiği bilgiye göre bu sertifikadan ötürü şimdiye kadar görülen herhangi bir zarar yok. Bununla ilgili teknik açıklamaları da bu işin otoriteleriyle paylaşmışlar. TÜRKTRUST'ın açıklamaları Microsoft Technet, Google Security Blog ve Mozilla Security Blog üzerinde yer almış. Bu arada not olarak belirtelim ki, Windows Vista ve sonrası Microsoft işletim sistemlerini kullananların konuya dair herhangi bir önlem almasına gerek yok.
Özetle bize aktarılan bilgilere göre olay, Ağustos 2011'de üretilen iki adet hatalı sertifikadan birinin Aralık 2012 tarihinde ortaya çıkmasının yarattığı bir artçı şoktan ibaret.
EGO'dan ilginç çıkış: “Şantaj peşinde misiniz?”
Tabii olayın iç yüzünün ve teknik detaylarının açıklığa kavuşturulması konusunda haberin direkt muhatapları arasında yer alan EGO yetkililerinden de TÜRKTRUST'a benzer bir ilgi beklerdik ama olmadı.
Öncelikle EGO'nun Basın Yayın ve Halkla İlişkiler Biriminden bir yetkiliyle görüştük ama sorularımıza tatminkar bir cevap alamadık. Daha doğrusu sorduğumuz sorunun ne olduğunu dahi anlatamadık demek daha yerinde bir ifade olur.
“Haber ajanslarından gelen bilgilerde EGO'nun bilgi işlem altyapısı üzerinden çalışanlarının internetteki faaliyetlerini izlediğine dair iddialar mevcut, bu konuda bir açıklama yapacak mısınız” sorumuza telefondaki görevlinin “Siz bize şantaj mı yapmaya çalışıyorsunuz” şeklinde çıkış yaparak telefonu kapatması ilginç bir durumdu.
Belli ki EGO parmaklarının ucunda yürüyen bir kurum. Neyse…
Dolayısıyla olayın EGO tarafında nasıl göründüğünü henüz anlatamıyoruz.
Oradan da bir açıklama gelirse buradan paylaşırız.
#ego google#ego ssl#turktrust#turktrust ego#türktrust ssl ego