Rusya'da internet kullanıcıları, Batı yaptırımları sonucunda ortaya çıkan dijital bir krizle karşı karşıya. Dijital Kalkınma Bakanlığı, uluslararası sertifika otoritelerinin Rus kuruluşlarına hizmet vermeyi durdurmasının ardından, vatandaşlara devletin Ulusal Sertifikasyon Merkezi'nin (NUTs) güvenlik sertifikalarını manuel olarak kurmaları veya Yandex Browser'a geçmeleri yönünde çağrı yapıyor.
Kriz, 2026 yazında uluslararası sertifika otoritesi GlobalSign'ın Rus kuruluşlarına verdiği TLS sertifikalarını topluca iptal etmeye başlamasıyla derinleşti. Aynı dönemde, ücretsiz sertifika sağlayıcısı Let's Encrypt de Rus devlet kurumlarına yeni sertifika vermeyi durdurdu. Bu gelişmeler, 'Maks' mesajlaşma uygulaması, büyük bankalar ve Federal Vergi Servisi gibi kritik devlet hizmetlerini sertifikasız bıraktı.
Rusya, bu duruma yanıt olarak 2022'de Ukrayna'ya yönelik askeri operasyon ve yaptırımlar sonrasında acilen Ulusal Sertifikasyon Merkezi'ni (NUTs) kurdu. Bu merkez, Russian Trusted Root CA kök sertifikasıyla imzalanan ücretsiz TLS sertifikaları dağıtmaya başladı. Ancak bu sertifikalar, Chrome, Firefox, Safari ve Edge gibi küresel tarayıcıların güven listesinde yer almıyor. Şu anda NUTs sertifikalarına yalnızca Yandex Browser ve VK'nın 'Atom' tarayıcısı varsayılan olarak güveniyor.
Güvenlik riskleri ve 'ortadaki adam' tehdidi
Bağımsız siber güvenlik uzmanları, Rusya'nın ulusal sertifika sisteminin en büyük tehlikesinin 'ortadaki adam' (MITM) saldırıları olduğunu belirtiyor. Bir kullanıcı NUTs kök sertifikasını sistemine eklediğinde, bu merkezin herhangi bir internet sitesi için sertifika üretebileceğini kabul etmiş oluyor. Bu durum, teorik olarak Gmail, Telegram veya banka siteleri için bile sahte sertifika üretilip kullanıcı trafiğinin izlenebileceği veya yönlendirilebileceği anlamına geliyor.
Uzmanlar, bu sistemin pasif izleme ve aktif müdahale olmak üzere iki temel tehdide kapı araladığını vurguluyor. Pasif izlemede, internet servis sağlayıcısı şifrelenmiş trafiğin içeriğini okuyabilir. Aktif müdahalede ise trafik anlık olarak değiştirilebilir; bir web sayfasına zararlı kod eklenebilir veya içerik sansürlenebilir.
Kazakistan'daki uygulama örneği
Bu riskler teorik değil. Komşu ülke Kazakistan, 2019'dan itibaren vatandaşlarını ulusal güvenlik sertifikası yüklemeye zorladı ve bu sertifikaları Gmail, Facebook gibi servislerin trafiğini deşifre etmek için kullandı. Bağımsız araştırma projesi OONI'nin 2021-2024 verilerine göre, Kazak yetkililer ulusal sertifikaları kullanarak compromat.ru, regnum.ru gibi Rus sitelerine yönelik MITM saldırıları düzenledi.
Yandex Browser'ın kontrol mekanizması
Dijital Kalkınma Bakanlığı, riskleri azaltmak için Yandex Browser kullanımını teşvik ediyor. Yandex Browser, NUTs sertifikalarına körü körüne güvenmek yerine, bu sertifikaların bir Certificate Transparency (CT) günlüğüne kaydedilmiş olmasını şart koşuyor. Tarayıcı, sertifikada gömülü olan İmzalı Sertifika Zaman Damgası'nı (SCT) kontrol ederek, sertifikanın şeffaf bir kamu kaydına işlendiğini doğruluyor.
Şu anda NUTs için Yandex, VK ve Bakanlığa ait olmak üzere üç CT günlüğü çalışıyor. Yandex Browser, özellikle Yandex'in kendi günlüğünden bir SCT bulunmasını zorunlu tutarak, Bakanlığın tek başına sertifika üretip kullanmasını engelleyen bir kontrol katmanı oluşturuyor.
Ancak uzmanlar, Yandex'in Rusya yargı yetkisi altında faaliyet gösteren bir şirket olduğunu ve devletin olası bir MITM saldırısında Yandex'in günlüğe kayıt eklemeyi reddedip reddedemeyeceğinin belirsiz olduğunu hatırlatıyor. Ayrıca, 2023'te bir uzmanın, bazı alan adları için sertifikaların CT günlüklerinde yer almadığını iddia etmesi, sistemin güvenilirliğine dair soru işaretleri yaratıyor.
Sonuç olarak, Rus internet kullanıcıları, Batı yaptırımlarının tetiklediği bir dijital dönüşüm sürecinde artan gözetim ve siber saldırı riskleriyle yüzleşiyor. Uzmanlar, manuel sertifika kurulumunun tüm sistem için bir güvenlik açığı yarattığı, Yandex Browser'ın ise riski sınırlasa da tamamen ortadan kaldırmadığı görüşünde.
