eMudhra'nın 8 sertifika anahtarı saniyeler içinde kırıldı: Tarayıcılar acil yama çıkardı

60 milyondan fazla sertifika ihraç etmiş Hintli dijital sertifika otoritesi eMudhra'nın sekiz gizli anahtarının ele geçirildiği ortaya çıktı. Anahtar sahipliği, saldırganların güvenilir görünen sahte sertifikalar üreterek web sitelerini taklit etmesine imkân verebilecek kadar ciddi bir açık; bugüne kadar ise kullanıcılara yönelik hiçbir saldırı bildirilmedi.

Tarayıcı geliştiricileri harekete geçti: Mozilla, Chrome, Apple ve Microsoft söz konusu sertifikaları art arda engelledi, eMudhra da ara sertifikaları iptal etti. Asıl risk ise tarayıcının dışında, iptal kontrolü yapmayan yazılımlarda yatıyor.

İlgili: Kriptoda kapanış dalgası: 2026'da 82 proje faaliyetlerini durdurdu

Sertifika otoritesi nedir, bu anahtar neden kritik?

Kullanıcı bir siteyi ziyaret ettiğinde tarayıcı, dijital sertifika üzerinden sitenin gerçek olduğunu doğrular. Bu sertifikaları ihraç eden ve kendi özel anahtarlarıyla imzalayan şirketlere sertifika otoritesi denir. Anahtar bir "ana damga" gibidir: eline geçiren biri, herhangi bir site için gerçekçi görünen sahte sertifikalar üretebilir. CoinDesk'e görüş için başvurduğu eMudhra, bu otoritelerden biri ve The Register'ın verdiği bilgiye göre 60 milyonu aşkın sertifika yayımlamış bir şirket.

Açık nasıl ortaya çıktı?

Olay, 17 Ekim'de Wayne adlı bir araştırmacının açığı tarayıcı geliştiricilerine bildirmesiyle gündeme geldi. Araştırmacı, açığın gerçek olduğunu kanıtlamak için sekiz ele geçirilmiş anahtarın tamamıyla imzaladığı "We have a problem here – Wayne" mesajını paylaştı.

Anahtarların bu kadar kolay ele geçirilmesinin nedeni, güvenlik araştırmacısı Scott Helme'in açıklamalarında yatıyor: "eMudhra'nın sertifika otoritesi özel anahtarlarından biri 4. Bir diğeri 56, bir başkası 115." Araştırmacılara göre şirket, 384 bitlik rastgele sayılar yerine küçük tamsayıları özel anahtar olarak kullanmıştı; bu sayede sekiz anahtarın tamamı kamuya açık sertifikalardan bir saniyenin altında kurtarılabildi. Anahtarların Nisan 2025'ten bu yana açıkta kaldığı belirtiliyor. Anahtarların nasıl dışarı çıktığı henüz netleşmedi; Helme'in Mozilla hata kaydından yaptığı okumaya göre şirket, anahtar kurulum betiğindeki bir hatayı sorumlu gösterdi.

Engellemeler ve düzeltmeler hangi tempoyle geldi?

Mozilla, bildirimi 17 Ekim'de UTC ile saat 20.00'den sonra aldı ve yaklaşık üç saat içinde engelleme uyguladı; Chrome aynı gün, Apple 19 Ekim'de ve Microsoft 20 Ekim'de sertifikaları engelledi. Mozilla'nın güvenlik bülteninde, ağ araya girenlerin bu sahte sertifikaları kullanarak güvenilir siteleri taklit edebileceği ve kullanıcı verilerini okuyup değiştirebileceği uyarısı yapıldı.

Ancak sertifikaların iptali, tarayıcı dışındaki yazılımlara yeterli koruma sağlamıyor; birçok program iptal kontrolü hiç yapmıyor. Helme'in testlerine göre curl, Python, Node, Go ve Java gibi araçlar, Stripe'un API'si için hazırlanmış sahte bir sertifikayı kabul etti. Bu durum, özellikle Python, Node veya Go ile yazılmış borsa botları, alım-satım betikleri ve cüzdan arka uçları için risk oluşturuyor: aynı ağdaki bir saldırgan, sahte sertifika sayesinde botun trafiğini okuyabilir veya değiştirebilir. Kripto alanında şimdiye kadar saldırı bildirilmedi.

Yazılım tarafında düzeltmeler çoğunlukla yayımlandı: Go, Python'un certifi paketi ve Rust'un webpki-roots kütüphanesi güncellendi; Node.js için düzeltme son kontrolde hâlâ bekliyordu.