Google Alan Adları Hedefinde: Üç ccTLD Kaydı Ele Geçirildi

Siber güvenlik dünyası, son dönemde .gh (Gana), .sl (Sierra Leone) ve .as (Amerikan Samoası) ülke kodlu üst düzey alan adı (ccTLD) kayıtlarının saldırganlar tarafından ele geçirilmesiyle sarsıldı. Bu kritik alan adı kaydı ele geçirme vakası, Google ve YouTube gibi dev platformlara ait bazı alan adları için yetkisiz HTTPS sertifikalarının elde edilmesine yol açtı. Saldırı Google’ın kendi sistemlerine sızmadan gerçekleşse de, küresel internet altyapısındaki potansiyel zafiyetleri bir kez daha gözler önüne serdi.

Ülke Kodlu Alan Adlarının Güvenliği Neden Hayati?

Ülke kodlu üst düzey alan adları (ccTLD’ler), belirli bir ülkeye atanan ve internet adreslerinin sonunu belirleyen iki harfli uzantılardır. Bu alan adları, hem ülke içinde dijital kimlik ve egemenlik açısından hem de küresel internetin işleyişi açısından büyük öneme sahiptir. .gh, .sl ve .as gibi ccTLD’lerin kayıt sistemlerinin ele geçirilmesi, basit bir web sitesi ihlalinin ötesinde, tüm bir ülkenin dijital altyapısını etkileyebilecek ciddi sonuçlar doğurabilir. Saldırganların bu kayıtlara erişimi, ilgili ccTLD altında tescil edilmiş tüm alan adları üzerinde kontrol sağlamalarına olanak tanır. Bu durum, DNS (Alan Adı Sistemi) kayıtlarının manipüle edilmesi ve dolayısıyla meşru web trafiğinin kötü niyetli sunuculara yönlendirilmesi riskini beraberinde getirir. Küresel çapta milyonlarca kullanıcının günlük etkileşimde bulunduğu bu tür alan adları, hedef alındığında geniş kitleleri etkileme potansiyeli taşır.

DNS Manipülasyonu ve Yetkisiz Sertifikalar Nasıl Çalıştı?

Saldırının temelinde, ele geçirilen ccTLD kayıtları aracılığıyla alan adlarının yetkili DNS kayıtlarının değiştirilmesi yatıyor. Bir sertifika yetkilisi (CA), bir alan adı için HTTPS sertifikası vermeden önce, başvuranın o alan adı üzerindeki kontrolünü doğrulamak zorundadır. Bu doğrulama genellikle, başvuranın alan adının DNS ayarlarına belirli bir kayıt eklemesi gibi yöntemlerle gerçekleştirilir. Saldırganlar, ele geçirdikleri ccTLD kayıtları sayesinde Google ve YouTube’a ait olan google.com.gh, google.sl, google.as gibi alan adlarının DNS kayıtlarını manipüle ederek bu doğrulama sürecini atlatmayı başardı. Google’ın açıklamasına göre, sertifika yetkilileri (CA’lar) bu süreçte herhangi bir hata yapmadı; sorun, alan adı kayıt sisteminin kendisinde ortaya çıktı. Sertifika Şeffaflığı (Certificate Transparency – CT) kayıtları, 22-27 Eylül tarihleri arasında bu üç ccTLD altında Google ve YouTube adlarına en az 12 yetkisiz sertifikanın düzenlendiğini gösteriyor. Bu sertifikaların 11’i Let’s Encrypt, biri ise ZeroSSL tarafından verildi. Kayıtlar, .gh için 22 Eylül’de, .sl için 25 Eylül’de ve .as için 27 Eylül’de sertifikaların kayıtlara geçtiğini ortaya koyuyor. Kaydedilen tüm sertifikalar, başvuranın alan adı üzerindeki kontrolünü kontrol eden “alan adı doğrulama” (domain-validated) türündeydi. Let’s Encrypt’ten Matthew McPherrin, 7 Ekim’de CA’nın topluluk forumunda bu saldırılar sırasında Let’s Encrypt sertifikalarının düzenlenip düzenlenmediği sorusuna yanıt olarak şu ifadeyi kullandı:

“Evet, Google ve YouTube için sertifikalar düzenlendi ve iptal edildi.”

İncelenen kayıtlarda, 10 Eylül’e kadar geriye dönük olarak google.com.gh, google.sl ve google.as için düzenlenen diğer tüm sertifikaların Google’ın kendi CA’sı olan Google Trust Services’tan geldiği görülüyor. Bu durum, ele geçirilen ccTLD’ler aracılığıyla elde edilen yetkisiz sertifikaların ne kadar sıra dışı olduğunu gösteriyor.

Siber Kimlik Avı ve Veri Gizliliği Üzerindeki Etkiler

Yetkisiz bir HTTPS sertifikası ele geçirmek, siber saldırganlara oldukça tehlikeli bir araç sağlar. Normalde, HTTPS sertifikaları bir web sitesinin kimliğini doğrular ve kullanıcı ile sunucu arasındaki tüm iletişimi şifreleyerek veri güvenliğini garanti altına alır. Ancak, saldırganlar ele geçirdikleri sahte sertifikalarla kendilerini meşru bir web sitesi gibi gösterebilirler. Bu durumda, kullanıcılar şifreli bir bağlantı (tarayıcıda “güvenli” kilit simgesi) gördükleri için güvende olduklarını düşünebilirler, ancak aslında tüm hassas verileri (kullanıcı adları, şifreler, kredi kartı bilgileri) doğrudan saldırganlara gönderiyor olabilirler. Bu durum, klasik kimlik avı saldırılarını çok daha inandırıcı ve tehlikeli hale getirir. Google, yetkisiz sertifikaları tespit ettiğinde hızlıca harekete geçerek Chrome tarayıcısında bu sertifikaları CRLSets (Certificate Revocation List Sets) mekanizması aracılığıyla anında engelledi. Ayrıca şirket, sertifikaları veren CA’larla iş birliği yaparak bu sertifikaların iptalini sağladı. Bu iptal işlemi, diğer tarayıcıları ve uygulamaları kullanan kullanıcılar için de koruma sağlamayı amaçlıyor. Google, saldırıdan etkilenen diğer küresel markaların ve çevrimiçi hizmetlerin de olabileceğini belirtti, ancak herhangi bir isim açıklamadı. Bu durum, geniş çaplı bir güvenlik tehdidinin yalnızca küçük bir kısmının ortaya çıkmış olabileceğine işaret ediyor.

Alan Adı Yönetimi ve Sertifika Güvenliği İçin Zorunlu Adımlar

Bu olay, alan adı kayıt sistemlerinin ve sertifika yetkililerinin siber güvenlik zincirindeki kritik rolünü bir kez daha gözler önüne serdi. Kuruluşlar için, alan adı yönetimi süreçlerini gözden geçirmek ve ek güvenlik katmanları eklemek artık bir lüks değil, zorunluluktur. Yetkilendirilmiş DNS kayıtlarının izlenmesi, herhangi bir yetkisiz değişikliğin anında tespit edilmesi açısından hayati önem taşır. Ayrıca, Certificate Transparency (CT) kayıtlarının sürekli olarak kontrol edilmesi, bir alan adına ait yetkisiz sertifikaların düzenlenip düzenlenmediğini belirlemek için proaktif bir yöntem sunar. Google’ın kendi alan adları için Google Trust Services gibi kendi CA’sını kullanması, bir nebze daha fazla kontrol sağlasa da, bu tür dış kayıt sistemi ihlallerine karşı tam koruma garantilemez. Kullanıcılar açısından ise, özellikle şüpheli e-postalar veya mesajlar aracılığıyla gelen bağlantılara tıklarken her zaman dikkatli olmak ve adres çubuğundaki URL’yi dikkatlice kontrol etmek temel bir savunma hattıdır. Kurumlar, DNSSEC gibi teknolojileri benimseyerek DNS kayıtlarının bütünlüğünü ve orijinalliğini kriptografik olarak doğrulamalıdır. Ayrıca, sertifika yetkilileri de alan adı doğrulama süreçlerini sürekli olarak güçlendirmeli ve olası zafiyetleri minimuma indirmelidir.

Dijital Kimlik Doğrulamada Güven Krizi ve Büyük Resim

Yaşanan bu ccTLD ele geçirme olayı, modern internetin temel taşlarından biri olan dijital kimlik doğrulama sistemlerinin ne kadar kırılgan olabileceğini gösteriyor. Bir web sitesinin kimliği, sadece alan adı kaydı ve ona bağlı sertifikalarla değil, aynı zamanda bu altyapıyı yöneten tüm paydaşların güvenlik uygulamalarıyla da doğrudan ilişkilidir. Güvenin tesis edildiği her katmanda bir zafiyet, tüm zinciri tehlikeye atabilir. Bu olay, siber güvenlik tehditlerinin sadece yazılım açıklarından ibaret olmadığını, aynı zamanda küresel internet altyapısının temel hizmetlerini hedefleyebileceğini vurguluyor. Alan adı kayıt operatörlerinin, sertifika yetkililerinin ve kurumsal alan adı yöneticilerinin güvenlik protokollerini sürekli olarak güncellemesi, düzenli denetimler yapması ve olası tehditlere karşı iş birliği içinde olması gerekiyor. Dijital dünyada, kullanıcıların güvenliği ancak tüm tarafların ortak ve proaktif çabalarıyla sağlanabilir. Bu tür saldırılar, siber güvenlik mimarisinin sürekli evrim geçirmesi gerektiğini ve hiçbir sistemin mutlak güvenliğe sahip olmadığını hatırlatan acı bir ders niteliği taşıyor.