Hindistan merkezli dijital güvenlik şirketi eMudhra, sekiz ara sertifika otoritesinin kriptografik anahtarlarında tespit edilen zayıflığın ardından küresel SSL/TLS sertifika işinden gönüllü olarak çekilme kararı aldı. Şirketin kararı, internet sitelerinin kimliğini doğrulayan sertifikalara duyulan güveni yeniden gündeme taşıdı.
Google’ın teknik açıklamasında, yeterince rastgele oluşturulmamış özel anahtarların, etkilenen sertifikalara güvenmeyi sürdüren sistemlerde başka internet sitelerini taklit etmek için kullanılabileceği belirtildi. Sorun, bir internet sitesinin parolasının açığa çıkmasından ziyade, tarayıcıların sitelere güvenmesini sağlayan sertifika altyapısıyla ilgili.
Zayıf anahtarlar 30 Nisan 2025’te üretildi
eMudhra, 21 Ekim tarihli açıklamasında etkilenen anahtarların 30 Nisan 2025’teki üretim işlemi sırasında ortaya çıktığını bildirdi. Şirkete göre işlemdeki bir hata, güçlü anahtarların yanı sıra ikinci bir zayıf anahtar grubu üretilmesine yol açtı. Bu ikinci grup tarayıcıların güven sistemlerine dahil oldu. eMudhra, hatanın temel nedenini araştırmayı sürdürdüğünü açıkladı.
Şirket, kendi altyapısına izinsiz erişim olmadığını ve veri ihlali yaşanmadığını da belirtti. Hindistan’daki dijital imza ve eSign hizmetlerinin ayrı bir altyapıda yürütüldüğünü, dolayısıyla bu olaydan etkilenmediğini ifade etti. Küresel TLS faaliyetlerinin şirket gelirinin yaklaşık yüzde 1’ini oluşturduğu bildirildi; bu nedenle alınan karar eMudhra’nın tüm işlerini sona erdirmiyor.
Chrome ve Firefox sertifikalara güveni kaldırdı
Google, 17 Ekim’de bilgilendirilmesinin ardından aynı gün Chrome için engelleme güncellemesi hazırladığını duyurdu. Korumanın tarayıcıyı yeniden başlatmaya gerek kalmadan devreye girdiğini belirten şirket, etkilenen ara sertifikaları imzalayan emSign ECC Root CA – G3 kökünü de Chrome’un güven listesinden çıkarıyor. Değişikliğin genel dağıtımı için 27 Ekim tarihi verildi.
Google’ın adımı, söz konusu köke bağlı bazı geçerli site sertifikalarının Chrome’da çalışmasını da engelleyebilir. Bu nedenle şirket, ilgili sertifikaları kullanan site yöneticilerinden başka bir güvenilir sertifika zincirine geçmelerini istiyor.
Mozilla da etkilenen sertifikaları 17 Ekim’de OneCRL sistemi üzerinden engellediğini açıkladı. Standart ayarları kullanan Firefox kullanıcılarına koruma üç saatten kısa sürede ulaştı. Otomatik dağıtımı özel ayarları nedeniyle alamayan kullanıcılar için ayrıca tarayıcı güncellemeleri yayımlandı.
Olay, tüm internet kullanıcılarının bağlantılarının ele geçirildiği anlamına gelmiyor. Tarayıcıların aldığı önlemler, etkilenen sertifikalara duyulan güveni kaldırıyor. Bununla birlikte şirketlerin ve site yöneticilerinin kullandıkları sertifika zincirlerini gözden geçirmesi gerekiyor. Tarayıcılardan farklı güven listeleri kullanan yazılımlarda da ilgili sağlayıcının güncellemelerini izlemek önem taşıyor. Tarayıcı sertifika uyarısı verirse uyarıyı geçerek bağlantıyı sürdürmek güvenli bir çözüm değil.
