Farklı tarayıcılardaki kök programları ve küresel işletim sistemlerindeki güven depoları, Hint sertifika otoritesi eMudhra (eMudhra) tarafından verilen ve bunlarla ilişkili özel anahtarlarda ciddi bir sızıntı veya zafiyet bulunduğunun ve bunların kolayca kurtarılabileceğinin doğrulanmasının ardından sekiz ara sertifikayı engellemeye başladı.
Söz konusu sertifikalar Nisan 2025'te yayımlandı ve Google, özel anahtarların yetersiz rastgelelik ve zayıf şifrelendirme entropisi ile üretildiğini, bunun da herkesin güvenilir HTTPS sertifikaları sahtesini üretmesine ve henüz bu sertifikalara olan güveni kaldırmamış müşterilere karşı herhangi bir web sitesini taklit etmesine olanak tanıdığını açıkladı. Buna yanıt olarak Mozilla ve Google gibi büyük şirketler, ekim ortasında Firefox ve Chrome tarayıcılarında sertifikaları engellemek için hızlı hareket etti; onları sonraki günlerde Apple ve Microsoft'un yanı sıra Sectigo (Sectigo) ve Cloudflare (Cloudflare) tarafından alınan benzer önlemler takip etti.
Zayıf Anahtarların Kolay ve Hızlı Kurtarılması
Mozilla'dan araştırmacı Denis Jackson, sistemlerin hâlâ güvenip güvenmediğini kontrol etmek için bir araç yayınladı ve özel anahtarların yanlış bir şekilde son bayt hariç sıfırlardan oluşacak şekilde üretildiğini açıkladı. Jackson, birkaç kişinin ayrık logaritma algoritmasını (baby-step giant-step) kullanarak özel anahtarları bağımsız ve çok hızlı bir şekilde kurtarmayı başardığını doğruladı.
eMudhra ise hatanın, anahtar üretim töreni sırasında kullanılan komut dosyasındaki bir hatadan kaynaklandığını, bunun da orijinal anahtarlarla benzer adlandırmalar nedeniyle sertifika imzalama istekleri oluşturmak için yanlışlıkla kullanılan ikinci ve daha zayıf bir anahtar çiftinin oluşturulmasına yol açtığını açıkladı. Şirket, bu ihraççıların aslen müşterilerin dijital egemenlik sorunlarını çözmek üzere ABD ve Avrupa'daki veri merkezlerine ihraç edilmek üzere oluşturulduğunu belirterek, tek bir durum haricinde üretimde operasyonel olarak çalışmadıklarını vurguladı.
Pratikte Ne Değişiyor?
Sertifika Şeffaflığı (CT) kayıtlarında bu anahtarların iptal edilmeden önce kötü amaçlı olarak kullanıldığına dair hiçbir kanıt bulunmamasına rağmen, bazı müşterilerin söz konusu ara sertifikaların kendileri için güvenilir kalmaya devam etmemesini sağlamak amacıyla yazılım güncellemelerine ihtiyacı olabilir. eMudhra şu anda kod zafiyetleri ve süreç boşlukları hakkında daha derinlemesine incelemeler yürütmekte olup, önümüzdeki haftalarda gerçekleştirdiği her anahtar törenini yeniden doğrulama taahhüdünde bulunmaktadır.