eMudhra'nın Güvenlik Hatası: Zayıf Şifreleme Anahtarları İnternet Güvenliğini Riske Attı

Hindistan merkezli sertifika otoritesi eMudhra, dijital güvenlik dünyasında büyük yankı uyandıran bir yapılandırma hatasına imza attı. 30 Nisan 2025 tarihinde gerçekleştirilen bir anahtar oluşturma işlemi sırasında kullanılan hatalı bir betik, 8 ara sertifikanın özel anahtarlarının tahmin edilebilir derecede zayıf olmasına neden oldu. Normal şartlarda yüzlerce haneli rastgele sayılardan oluşması gereken bu anahtarların, 256'dan küçük değerlere sahip olduğu tespit edildi.

Güvenlik araştırmacısı Wayne, 17 Ekim tarihinde Common CA Database (CCADB) üzerinde yaptığı incelemelerde bu durumu fark etti. Araştırmacı Scott Helme, anahtarların 4, 56 ve 115 gibi basit sayılardan oluştuğunu doğrulayarak, bu verilere dizüstü bilgisayarında bir saniyeden kısa sürede ulaştığını belirtti.

İlginizi çekebilir · Siber GüvenlikSiber Saldırganlar Yeni Zafiyetleri Üç Gün İçinde Sömürüyor

Söz konusu anahtarların, Apple, Google, Microsoft ve Mozilla tarafından güvenilen kök sertifikalarla bağlantılı olması, olayın ciddiyetini artırdı. Mozilla'dan Dennis Jackson'ın durumu kamuoyuna duyurmasının ardından tarayıcı üreticileri hızla harekete geçti. Chrome, Firefox, Apple ve Microsoft, ilgili sertifikaları saatler içinde engelledi. eMudhra ise 18 Ekim'de bu sertifikaları iptal ettiğini duyurdu.

Şirket, hatanın bir insan hatası ve hatalı bir betikten kaynaklandığını kabul ederek, yaklaşık 30 bin müşteri sertifikasının değiştirilmesi gerektiğini tahmin ediyor. eMudhra, sadece bir ara sertifikanın üretim aşamasında kullanıldığını ve müşterilere hatalı anahtarlarla sertifika düzenlenmediğini iddia etse de, 17 aylık süreçte bu zayıf anahtarların başka birileri tarafından keşfedilip keşfedilmediği bilinmiyor. Uzmanlar, güncellemeleri otomatik almayan sunucular ve cihazlar için sistem yöneticilerine sertifika listelerini derhal güncellemeleri çağrısında bulunuyor.