Paypal , Apple id , Banka vb. Phishing Saldırılarının en büyük kaynağı "Let's Encrypt " SSL

Herkesin bildiği üzere Let's Encrypt SSL tüm web sitelerine ücretiz olarak SSL Sertifikası sağlamakta peki Phishing Saldırıları için neden bu kurum suçlanıyor?

Let's Encrypt SSL ücretiz olması nedeni ile tüm web siteleri buradan 3 aylık ssl sertifikası alabiliyor bu ise Phishing saldırılarının önünü kolayca açmış oluyor.

Peki bu satın alınan premium ssl sertifikalarında yok mu diyeceksiniz.

Kesinlikle hayır , Çünkü tüm ssl markaları ssl verdikleri domainleri kontrol eder ve ondan sonra teslim eder yani en basit örneği

facebookbegenibayi.com olarak bir domaininiz var siz buna en ucuz ssl sertifikalarından olan biri positive ssl sertifikasını almaya kalktığınızda Comodo " FACEBOOK " kelimesi geçtiği için siteyi inceleme alıyor ve site Phishing saldırısı için kullanılacaksa o sertifika teslim edilmemekte ve domain kara listeye giriyor.

Let's Encrypt SSL ise bunları tamamen atlayarak hiç sorgulamadan ssl sertifikasını veriyor bu ise insanları yönetiyor

https:// veya Güvenli ibaresi yüzünden yanılmakta ve bu sahte sitelere bilgilerini vermektedir.

Peki bu tür saldırılar nerelerde kullanılıyor ?

Paypal , Apple id , Gmail , Facebook , Twitter , Instagram , Türk Bankaları v.b sahte web sitelerinde kullanılmaktadır.

Güvenli ibaresini gören kullanıcılar yanılgıya düşmekte ve özel bilgilerini paylaşmaktadır. Tabi bizim Türk'lerde bu yöntemlere başvurmaktadır :)


Daha önce yine ücretsiz ssl servislerinden biri olan startssl firmasıda bu tür sorunlar yarattığı gerekçesi ile ceza almış ve kök sertifikaları iptal edilmişti.

2016 da Let's Encrypt kullanıp Phishing Saldırısı kullanan web sitelerinin sayısı

Comodo'nun sağladığı web sitesi üzerinden apple id Phishing saldırısı için kullanılan web sitelerinin listesini görmek için

https://crt.sh/?Identity=appleid%25&iCAID=16418

Yukarıdaki linki kullanabilirsiniz yine bu korkunç senaryonun paypal , Türk bankaları halinide crt.sh adresinden sorgulatabiliyorsunuz.

Facebook , Twitter vb. sosyal ağlarda da kullanılan bu yöntem Let's Encrypt sayesinde dağ gibi büyümeye devam ediyor.

Ücretisiz hizmet veren Let's Encrypt bunun için ne zaman harekete geçeceği merakla beklenmektedir.

Umarız bununda sonu startssl gibi kök sertifikalarının iptaline yol açmaz.

SSL satışını tetiklemek için güzel bir yöntem seçmişsiniz :) ancak başlık yanıltıcı..

Konu SSL Satışı değiş konu Ücretsiz SSL sayesinde dolandırılan insanlar :)

Hiç bir ssl satan firma bu tür domainlere ssl sertifikası vermez

Ücretsiz ssl yok iken de **************lık oluyordu.

Önemli olan kullanıcının bilinçli hareket etmesidir.

Siz burada tek taraflı bir yazı yazmışsınız maalesef.

Günümüzde zaten ssl konusunda insanlar karmaşa yaşıyor.
Ssl sonrası index kayıpları olacak vs endişeleri var.

Madem bu kadar uzun yazdınız, konuyu daha detaylı ele almalıydınız diye düşünüyorum.

Blog sitelerinde ücretsiz ssl kullanılabilir sakıncası yoktur.

E-ticaret sitelerinde ise; eğer ''aracı ödeme kuruluşu'' ile sanal pos anlaşması yapılacak ise ücretsiz ssl kullanılabilir.

Ancak banka ile direkt sanal pos anlaşması yapılacak ise ücretli ssl alınmalıdır.
Ve bununla birlikte özel ip alınması gereklidir.

İmajına önem veren siteler zaten ücretli ssl almalıdırlar.

Ancak **************lığın esas sebebi Let's Encryp gibi göstermek bence haksızlık olmuş.

Yeri geldiğinde Google kullanılmaması gereken ücretsiz ssl markasını duyuru ile bildiriyor zaten. Let's Encryp için gerekiyorsa bildirisini yapacaktır diye düşünüyorum.

Ve, dikkat ederseniz Let's Encryp Paypal 'e yönelik dolandırılma vakaları olduğunu zaten kendisi duyurdu zamanında.

İyi forumlar herkese.

@yilmaz70; evet haklısınız bu yanlızca yurtdışı bloglarında paylaşılan yazıyı Türkçeye çevirip sizlere aktardım

ek olarak Let's Encrypt yüzünden demedim En büyük kaynağı dedim :)

Çok yakında Online güvenlik ile alakalı bir blog açıp sürekli makale yayınlamayı planlıyorum gerek E Ticaret , Gerek Blog gerek Normal web siteleri için tavsiyelerde içerecek

En baştaki konumda index kaybı korkusu olanlar için

Güzel bir yere değinmişsiniz son zamanlarda sosyal medyada karşıma çıkan pshing siteler gittikçe çoğaldı, bankaları 1'e 1 kopyalayıp bilmeyenlerin hesaplarını boşaltıyolar..
Facebook'un bu reklamlara izin vermeside cabası (Açığı veya taktiğide olabilir)

Ücretsiz SSL sertifikalarına erişimin kolay olmasından dolayı elbette kullanım oranı yüksek. Ancak bilinçsiz son kullanıcıların, tarayıcıdaki "Güvenli" ibaresinin amacını bilmemesinden kaynaklanan bir durumu her hangi bir SSL sertifikasına bağlamamak lazım.

@eka7a;

Evet fazlası ile bağlamak gerek

Comodo , Symantec veya GlobalSign gruplarının hiç biri bu tür domainlere onay vermemektedir.

Sizin mantığınızla düşünürsek o zaman X kişisi Y kişisini bıçakla öldürdü ama suçlu bıçağı üreten Z fabrika olması lazım.

@eka7a;

Benim mantığım şu şekilde

Comodo , Symantec , Globalsign ve Let's dış görünüş olarak normal insanlar

Ücretli verenler işini dürüstçe yapan tüccarlar

Lets ise sadece dış görünüşü normal aslında bir seri katil

ben bu şekilde bakıyorum olaya tabi bu bakış açısıdır :)