eMudhra, güvenlik açığının ardından küresel SSL/TLS sertifika işinden çekiliyor

Hindistan merkezli dijital güvenlik şirketi eMudhra, sekiz ara sertifika otoritesine ait kriptografik anahtarlarda ortaya çıkan zayıflığın ardından küresel SSL/TLS sertifika işinden çekilme kararı aldı. Reuters’ın 22 Ekim tarihli haberine göre şirket bu faaliyetleri gönüllü olarak sonlandıracak. Karar, internet sitelerinin kimliğini doğrulayan sertifikalara ilişkin güven zincirini yeniden gündeme getiriyor.

Sorunun merkezinde, yeterince rastgele oluşturulmayan özel anahtarlar bulunuyor. Google’ın teknik açıklamasına göre bu zayıflık, etkilenen sertifikalara güvenmeye devam eden sistemlerde başka internet sitelerinin kimliğine bürünmek için kullanılabiliyordu. Yani mesele bir sitenin parolasının sızmasından ziyade, tarayıcının karşısındaki siteye güvenmesini sağlayan altyapıyı ilgilendiriyor.

eMudhra’nın 21 Ekim açıklaması, etkilenen anahtarların 30 Nisan 2025’teki üretim işlemi sırasında oluştuğunu belirtiyor. Şirkete göre işlemdeki bir hata, güçlü anahtarların yanında ikinci bir zayıf anahtar grubu üretti ve tarayıcıların güven sistemlerine bu ikinci grup girdi. eMudhra, olayın kök nedenini araştırmayı sürdürdüğünü söylüyor.

Şirket ayrıca kendi altyapısına sızılmadığını ve veri ihlali yaşanmadığını bildiriyor. Hindistan’daki dijital imza ve eSign hizmetlerinin ayrı bir altyapıda çalıştığını, bu nedenle olaydan etkilenmediğini belirtiyor. Küresel TLS faaliyetleri ise şirketin açıklamasına göre gelirinin yaklaşık yüzde 1’ini oluşturuyor. Dolayısıyla çekilme kararı, eMudhra’nın bütün faaliyetlerini sonlandırdığı anlamına gelmiyor.

Chrome ve Firefox, etkilenen sertifikaları engelledi

Google, 17 Ekim’de aldığı bildirimin ardından aynı gün Chrome için engelleme güncellemesini hazırladı. Şirket, bu korumanın tarayıcıyı yeniden başlatmaya gerek kalmadan devreye girdiğini açıklıyor. Ayrıca etkilenen ara sertifikaları imzalayan emSign ECC Root CA – G3 kökünü de Chrome’un güven listesinden çıkarıyor. Bu değişikliğin genel dağıtımı için 27 Ekim tarihini veriyor.

Bu adım bazı geçerli site sertifikalarının da Chrome’da çalışmasını durdurabilecek. Google, söz konusu köke bağlı sertifika kullanan site yöneticilerinden başka bir güvenilir sertifika zincirine geçmelerini istiyor. Böylece kullanıcı tarafındaki koruma ile site sahiplerinin yapması gereken sertifika değişikliği birlikte ilerliyor.

Mozilla da kendi açıklamasında etkilenen sertifikaları 17 Ekim’de OneCRL sistemiyle engellediğini bildiriyor. Standart ayarlardaki Firefox kullanıcılarına koruma üç saatten kısa sürede ulaştı. Mozilla, otomatik dağıtımı özel ayarları nedeniyle alamayan kullanıcılar için ayrıca tarayıcı güncellemeleri yayımladı.

Bu nedenle olay, bütün internet kullanıcılarının bağlantılarının ele geçirildiği anlamına gelmiyor. Tarayıcıların aldığı önlemler etkilenen sertifikalara duyulan güveni kaldırıyor. Bununla birlikte şirketlerin ve site yöneticilerinin kullandıkları sertifika zincirlerini kontrol etmesi önem taşıyor. Özellikle tarayıcılardan ayrı güven listeleri kullanan yazılımlarda, ilgili sağlayıcının güncellemelerini takip etmek gerekiyor. Tarayıcı bir sertifika uyarısı gösteriyorsa bu uyarıyı geçerek bağlantıya devam etmek güvenli bir çözüm değil.