GlobalSign'den Rusya'ya Şok: 20 Bin Site Risk Altında, Bankalar Alarmda

HABERRUS - Dünyanın en büyük dijital sertifika kuruluşlarından Japon merkezli GlobalSign, yaptırım gerekçesiyle Rus web sitelerine verdiği SSL sertifikalarını iptal etmeye başladı. Karar, Rusya'nın en büyük bankaları ve ticari sitelerini zor durumda bırakırken, uzmanlar yaklaşık 20 bin alan adının doğrudan etkilenebileceğini belirtiyor.

Sertifika İptali Ne Anlama Geliyor?

SSL sertifikaları, bir web sitesinin dijital kimlik kartı, yani 'pasaportu' niteliğinde. Bu sertifika sayesinde tarayıcılar sitenin güvenli olup olmadığını anlıyor, adres çubuğunda kilit simgesi görünüyor ve veri aktarımı şifreleniyor.

GlobalSign’in iptal kararıyla birlikte, bu 'pasaportlar' geçersiz hale geliyor. Sonuç olarak:

• Chrome, Safari, Firefox gibi yaygın tarayıcılar, bu siteleri ziyaret etmeye çalışan kullanıcılara "bağlantınız güvenli değil" uyarısı gösterecek.
• Bazı durumlarda tarayıcılar, kullanıcıları doğrudan siteye erişimi engelleyen bir uyarı sayfasına yönlendirebilecek.
• Özellikle mobil uygulamalarda, sertifika iptali daha ciddi sonuçlar doğurabilir: Uygulama içinde 'sertifika sabitleme' (certificate pinning) kullanılıyorsa, uygulama sunucuyla bağlantıyı tamamen kesebilir ve kullanılamaz hale gelebilir.

Bankalardan Peş Peşe Uyarılar

Kararın ardından Rus bankaları, müşterilerini olası aksaklıklara karşı uyarmaya başladı.

T-Bank, bazı müşterilerine gönderdiği SMS'te, yaptırımlar nedeniyle bazı Rus site ve uygulamalarında oturum açma sorunları yaşanabileceğini bildirdi. Rusya Tarım Bankası (Rosselhozbank) da, Android uygulamasının eski sürümlerinde hatalar oluşabileceği konusunda uyarı yayınladı. Bu durum, bankacılık işlemlerinin aksaması riskini de beraberinde getiriyor.

'Pasaport' Krizinin Perde Arkası

GlobalSign'in bu adımının temelinde, uluslararası CA/Browser Forum konsorsiyumunun aldığı yeni kararlar yatıyor. Google, Apple ve Microsoft gibi büyük teknoloji firmalarının da içinde olduğu bu konsorsiyum, artık sertifika sağlayıcılarının uluslararası yaptırım listelerini kontrol etmesini zorunlu kılıyor.

GlobalSign bu kurala uymak zorunda olduğu için, portföyündeki Rus şirketlerini taradı ve yaptırım listelerinde yer alanlara verilen sertifikaları geri çekme kararı aldı. Rusya'nın Avrupa ile olan yoğun ticari ilişkileri nedeniyle şirket, AB yaptırımlarını da dikkate almak zorunda kaldı.

Gerçek Etki: Yüzde 5 mi, Yüzde 90 mı?

Krizin boyutu konusunda farklı görüşler var. Resmi makamlar, GlobalSign’ın Rusya pazarındaki payının yüzde 5'i geçmediğini ve bunun büyük bir sorun oluşturmayacağını iddia ediyor.

Ancak sektör temsilcileri çok daha vahim bir tablo çiziyor. Astra Cloud Genel Müdür Yardımcısı Konstantin Anisimov, ticari ve kurumsal segmentte GlobalSign’ın pazar payının yüzde 90'a kadar çıkabileceğini belirtiyor. Yani bankalar, büyük e-ticaret siteleri ve kritik altyapılar bu karardan ciddi şekilde etkilenebilir.

Çözüm Yerli Sertifikalar mı?

Rusya Dijital Kalkınma Bakanlığı (Mintsifry), site sahiplerini panik yapmamaya çağırarak 'devlet hizmetleri' (Gosuslugi) portalı üzerinden ücretsiz yerli TLS sertifikaları alabileceklerini duyurdu. 2021'den beri faaliyette olan Ulusal Sertifikasyon Merkezi (NUTS) bu sertifikaları sağlıyor.

Ancak burada kritik bir sorun var: Bu yerli sertifikalar, Rusya yapımı tarayıcılarla (Yandex Browser gibi) uyumlu çalışacak. Chrome, Safari veya Edge gibi yaygın uluslararası tarayıcılar bu sertifikaları tanımayabilir. Yani bir Rus bankasının sitesi, Yandex Browser'da sorunsuz açılırken, Chrome'da 'güvenli değil' uyarısı verebilir.

Kriz Sadece Sitelerle Sınırlı Değil

Uzmanlar, sorunun web sitelerini aşarak yazılım ekosistemini de tehdit ettiği konusunda uyarıyor. GlobalSign gibi kuruluşların verdiği sertifikalar, Windows, macOS ve iOS gibi işletim sistemlerinde uygulama imzalamak için de kullanılıyor. Bu sertifikaların iptal edilmesi, Rus yazılım geliştiricilerinin uygulamalarını bu platformlarda yayınlamasını veya güncellemesini teknik olarak imkansız hale getirebilir.

İnternetin Bölünmesi mi?

Uzmanlar, bu adımın internetin giderek daha fazla parçalanmasına yol açabileceğini belirtiyor. Kullanıcıların, farklı siteler için farklı tarayıcılar kullanmak zorunda kalabileceği, 'ulusal' ve 'uluslararası' internetler arasındaki uçurumun derinleşebileceği bir döneme giriliyor.

Siber güvenlik uzmanı Aleksey Lukatsky, bu durumu "sadece başlangıç" olarak nitelendiriyor. Benzer kararların diğer uluslararası sertifika kuruluşları tarafından da alınması halinde, Rus internetinin bir 'siber ada'ya dönüşme riski bulunuyor.