eMudhra sertifika açığı, araştırmacıların sekiz ara sertifikanın özel imzalama anahtarlarını ele geçirmesinin ardından Google, Mozilla, Apple ve Microsoft’un 17 Ekim ile 20 Ekim 2026 tarihleri arasında etkilenen sertifikaları engellemesine yol açtı. Google ayrıca, Chrome Root Store’a dayanan cihazlarda dağıtımın 27 Ekim’de yapılması beklenen bir eMudhra kök sertifikasının daha kapsamlı biçimde kaldırılacağını duyurdu.
Öne Çıkanlar
- Sekiz ara sertifikanın özel anahtarları kolayca kurtarılabiliyordu: altısı web sitesi güvenliği, ikisi kod imzalama için kullanılıyordu.
- Chrome’un engellemesinden önce, etkilenen altı ara sertifikaya bağlanan hiçbir TLS sertifikası kamuya açık biçimde kayda alınmamıştı; sertifika şeffaflığı uygulamasının kapsamı dışındaki maruziyet belirsizliğini koruyor.
- Chrome’un planlanan kök sertifika kaldırma işlemi, meşru sertifikaları da devre dışı bırakabilir ve etkilenen web sitesi işletmecilerinin bu sertifikaları değiştirmesini gerektirebilir.
İçindekiler
- eMudhra sertifika açığı güveni nasıl zedeledi
- Acil engellemeler neyi ortaya koydu, neyi koymadı?
- Daha kapsamlı kök sertifika kaldırma işlemi yenileme için son tarih getiriyor
- Sonuç
eMudhra sertifika açığı güveni nasıl zedeledi
Hindistan merkezli sertifika otoritesinin etkilenen anahtarları 30 Nisan 2025’te oluşturulmuştu. Mozilla mühendisi Dennis Jackson, sekiz anahtarın tamamında 256’dan küçük tam sayılar kullanıldığını ve bunun, güvenli kriptografik anahtarlardan beklenen rastgeleliği sağlamak yerine anahtarların neredeyse anında kurtarılabilmesine imkân verdiğini söyledi.
Mozilla, araştırmacının bulgularını doğrulayarak anahtarları 17 Ekim’de bağımsız olarak kurtardı. Etkilenen TLS imzalama anahtarlarına sahip olmak, saldırganların bu otoritelere hâlâ güvenen istemciler için web sitelerini taklit eden sertifikalar üretmesine olanak tanıyabilirdi.
eMudhra, kök neden açıklamasında sorunu, benzer bir etikete sahip ikinci ve daha zayıf bir anahtar çifti üreten anahtar oluşturma betiğine bağladı. Sürecin çeşitli aşamalarındaki insan hataları sonucunda bu çift yanlışlıkla sertifika imzalama isteğinde kullanıldı.
| Öğe | Ayrıntılar |
|---|---|
| Chrome | Etkilenen açık anahtarları 17 Ekim 2026’da engelledi. |
| Firefox | OneCRL engellemesini 17 Ekim’de saat 22:59 UTC’de tamamladı. |
| eMudhra | Etkilenen sekiz sertifikayı 18 Ekim’de iptal edilmiş olarak işaretledi. |
| Apple | Engelleme işlemini 19 Ekim’de uyguladı. |
| Microsoft | Engelleme işlemini 20 Ekim’de uyguladı. |
Acil engellemeler neyi ortaya koydu, neyi koymadı?
Chrome, CRLSet mekanizması aracılığıyla etkilenen açık anahtarları engelleyerek kullanıcıları tarayıcı güncellemesi veya yeniden başlatma gerektirmeden korudu. Firefox aynı gün OneCRL engellemesini devreye aldı; eMudhra ise daha sonra sekiz sertifikayı iptal etti.
Google, engelleme işlemi öncesinde etkilenen altı ara sertifikaya bağlanan hiçbir TLS sertifikasının Sertifika Şeffaflığı kayıtlarında yer almadığını söyledi. Bu nedenle, Chrome dâhil olmak üzere söz konusu kayıt gerekliliklerini uygulayan istemcilere karşı bu otoritelere ait sahte sertifikaların kullanılamayacağını belirtti.
Bu bulgu, anahtarların başka yerlerde kötüye kullanılıp kullanılmadığını ortaya koymuyor. Tarayıcı dışındaki yazılımlar sertifika şeffaflığını zorunlu olarak uygulamadığı veya eşdeğer engelleme güncellemelerini almadığı için, daha önceki maruziyetin kapsamı belirsizliğini koruyor.
Daha kapsamlı kök sertifika kaldırma işlemi yenileme için son tarih getiriyor
Google’ın Chrome ve Android kullanıcılarını korumaya yönelik duyurusu, emSign ECC Root CA – G3 sertifikasının Chrome Root Store’dan kaldırılacağını da açıkladı. Daha geniş kapsamlı dağıtımın 27 Ekim 2026’da yapılması, ön sürüm kanallarında ise daha erken kullanıma sunulması bekleniyordu.
Bu kapsamlı adım önem taşıyor; çünkü söz konusu kök sertifikaya bağlanan bazı meşru sertifikalar da Chrome’da çalışmayı durduracak. Google, etkilenen web sitesi işletmecilerinin Google’ın kök sertifika deposunda yer alan başka bir hiyerarşiden yeni TLS sertifikaları alıp yüklemesi gerektiğini ve eMudhra’nın abonelerin geçişine yardımcı olmayı taahhüt ettiğini söyledi.
Google ayrıca eMudhra’nın kalan sertifika otoritelerinin Chrome Root Store’da yer almaya devam edip etmemesi gerektiğini incelediğini belirtti. Bu inceleme sürüyordu; eMudhra’ya ait tüm otoritelerin kaldırılması tamamlanmış değildi.
Sonuç
Acil sertifika engellemeleri bilinen zayıf anahtarları ele aldı, ancak daha kapsamlı düzeltme çalışmaları devam ediyordu. Bir sonraki planlı aşama, kaldırılan kök sertifikaya bağlı sertifikalarını henüz yenilememiş meşru siteleri etkileyebilecek olan Chrome’un 27 Ekim’deki kök sertifika kaldırma dağıtımıydı.
Daha Fazla Haber Okuyun
Daha fazla FinanceVelix haberi
Sorumluluk Reddi
Bu FinanceVelix makalesi genel bilgilendirme amacı taşır; kişiye özel finansal, yatırım, hukuki veya vergi danışmanlığı değildir. Piyasa fiyatları, faiz oranları ve ekonomik koşullar değişebilir; yatırımlar zarar riski taşır. Bilgiler, yayımlandığı sırada mevcut olan materyalleri yansıtır ve değişebilir. Önemli bilgileri bağımsız olarak doğrulayın ve gerektiğinde nitelikli bir uzmana danışın. Bir varlıktan, şirketten veya hizmetten söz edilmesi, bunların onaylandığı anlamına gelmez.
