Büyük bir güvenlik skandalının ardından: eMudhra, TLS sertifikası pazarından çekiliyor
Dijital sertifika yetkilisi (Certificate Authority) olan eMudhra, küresel SSL/TLS sertifikası pazarından tamamen çekilme kararını açıkladı. Bu karar, güvenlik araştırmacılarının şirket tarafından verilen sekiz ara sertifikada feci bir güvenlik açığını ortaya çıkarmasından sadece birkaç gün sonra geldi. Şirketin şifreleme anahtarları o kadar zayıftı ki, saniyeler içinde ele geçirilebiliyordu.
Güvenlik açığının detayları
Teknik raporlara göre, şirketin yayınladığı ECC şifreleme anahtarlarının yüksek düzeyde karmaşıklığa (384 bit) sahip olması gerekiyordu; ancak keşfedilen anahtarların gücü sadece 3 ile 8 bit arasında değişiyordu. Bu, anahtarlar için olası kombinasyon sayısının çok düşük olduğu anlamına geliyordu ve bu durum herhangi bir tarafın herhangi bir web sitesi veya e-posta sunucusu için güvenilir web sertifikaları oluşturmasına izin vererek internet altyapısı için ciddi bir güvenlik tehdidi oluşturuyordu.
Bu haber neden önemli?
Bu olayın ciddiyeti, eMudhra tarafından verilen sertifikaların büyük tarayıcılar ve işletim sistemleri tarafından güvenilir kabul edilmesinden kaynaklanıyor. Güvenlik açığı keşfedilir keşfedilmez, tarayıcı şirketleri bu sertifikaları derhal engellemek zorunda kaldı. Bununla birlikte, Nesnelerin İnterneti (IoT) cihazları, Docker konteynerleri ve düzenli güncellemeleri almayan eski sistemler, güvenilir sertifika listelerini güncelleyemeyebilecekleri için uzun süre risk altında kalmaya devam ediyor.
"Anahtar Üretim Töreni"ndeki insani ve teknik hatalar
eMudhra, hatanın Nisan 2025'teki "Anahtar Üretim Töreni" (Key Generation Ceremony) sırasında meydana geldiğini açıkladı. Şirket, kullanılan yazılımdaki bir hatanın iki grup anahtar oluşturulmasına yol açtığını belirtti: güçlü bir grup ve zayıf bir grup. Etiketlemedeki bir insan hatası nedeniyle, zayıf anahtarlar sertifika vermek için kullanıldı ve kök depolarında (Root Stores) yayınlandı. Şirket ayrıca, orijinal anahtarlarla imzalama başarısız olduktan sonra, hatanın kök nedenini derinlemesine araştırmadan, kusurlu anahtarları kullanarak Sertifika İptal Listelerini (CRL) yeniden imzalamaya çalıştığını da kabul etti.
Çekilme nedenleri
Şirketin Yönetim Kurulu Başkanı V. Srinivasan, çekilme kararını artan düzenleyici uyum maliyetleri, ücretsiz sertifikaların yaygınlaşması nedeniyle yatırım getirisinin düşük olması ve olayın ardından gelen yoğun medya baskısı ve incelemelerle gerekçelendirdi. Şirket, bu incelemeleri iş portföyündeki bu faaliyetin ölçeğiyle "orantısız" olarak nitelendirdi.