eMudhra, Özel Anahtarları Saniyeler İçinde Çözülen SSL Sertifika Birimini Kapattı

Hindistan merkezli sertifika yetkilisi eMudhra, güvenlik araştırmacıları tarafından ortaya çıkarılan ciddi bir zafiyetin ardından SSL/TLS sertifikası düzenleme iş kolunu kapatma kararı aldı. Şirket, Nisan 2025'te gerçekleştirilen bir anahtar üretim töreninde yaşanan teknik bir hata nedeniyle, hedeflenen anahtarlar yerine son derece zayıf bir anahtar setinin tarayıcı güven listelerine dahil edildiğini açıkladı.

Güvenlik araştırmacısı Scott Helme, söz konusu sekiz ara sertifikanın özel anahtarlarını kendi dizüstü bilgisayarı üzerinden bir saniyeden kısa sürede kurtardı. Normal şartlarda 77 veya 78 basamaklı olması gereken bu anahtarların, 256'dan küçük tam sayılardan oluştuğu ve hatta bir tanesinin doğrudan 4 rakamı olduğu tespit edildi. Halka açık sertifikalarda yer alan bu zayıf değerler, saldırganların sertifikaları taklit etmesine ve web sitelerinin kimliğine bürünmesine olanak tanıyordu.

İlginizi çekebilir · Siber GüvenlikSignal'da Kritik Zafiyet: Arama Sonlandırılsa Bile Mikrofon ve Kamera Açık Kalabiliyor

Olayın ortaya çıkmasının ardından Google, Apple, Microsoft ve Mozilla gibi büyük tarayıcı geliştiricileri, söz konusu sertifikaları saatler içinde engelledi. Mozilla, şirketin kök sertifikasını güvenilir listesinden çıkarırken, Google'ın da önümüzdeki hafta yayınlanacak bir güncellemeyle benzer bir adım atması bekleniyor. Ayrıca Go, Node.js ve çeşitli Linux dağıtımları da güvenlik güncellemeleri yayınladı.

Şirket yönetimi, veri egemenliği maliyetleri, uyumluluk gereksinimleri ve ücretsiz sertifika sunan rakiplerle yaşanan rekabetin bu kararda etkili olduğunu belirtti. Şirket hisseleri zafiyetin açıklanmasının ardından iki gün içinde %40 değer kaybetti. Hindistan'ın siber güvenlik birimi CERT-In, şu ana kadar bu anahtarların kötü niyetli bir şekilde kullanıldığına dair herhangi bir kanıta rastlanmadığını bildirdi.