eMudhra raporu: Hatalı Python betiği özel anahtarları zayıflattı

Betik, anahtarı açtıktan sonra değerini ana makine belleğinden yanlış okuyup bu değerle yeni bir anahtar nesnesi oluşturdu. Değerler kesildi ve anahtarlar kabul edilen 384 bitlik gücün çok altında kaldı. Rapora göre bu, Temmuz 2025'teki gerçek aktarımın provasıydı ve kaynak HSM'nin FIPS modu prova için kapatılmıştı. Betik izole bir makinede çalıştı ve emCA yazılımının parçası değildi.

Güvenlik araştırmacısı “Wayne” anahtarları yaklaşık bir ay önce tersine mühendislikle çözdü; en küçüğü “4”, en büyüğü “237” çıktı. Google, Microsoft, Apple ve Mozilla sekiz sertifikanın tümünü engelledi, Cloudflare gibi şirketler güncelleme yayımladı. Hindistan CERT-In, saldırganların sahte TLS ve kod imzalama sertifikaları üretebileceği uyarısını yapmıştı.

Yeni bilgiler

eMudhra ilk kez 7 Kasım 2026'da sekiz RSA anahtar çiftini daha iptal ettiğini açıkladı. Daha önce RSA tarafının etkilenmediğini söylüyordu. Betik bu anahtarları kısaltmamıştı, ancak özel anahtar öznitelikleri törenin yapıldığı bilgisayarda bir Python sürecinin belleğinde durmuştu; şirket, bu anahtarların kendi kurallarına uygun işlendiğini güvenilir biçimde gösteremedi.

Listelenen 195 uç varlık sertifikasının 130'u artık iptal edilmiş EM DV TLS CA – G2C tarafından verilmişti; üniversiteleri, bir ilçeyi ve eMudhra'nın kendisini kapsıyordu. Şirket taşımayı tek seferlik bir zorunluluk olarak niteliyor: 15 Haziran 2025'te yürürlüğe giren kök mağaza politikaları, Sectigo ile çapraz sertifikasyon takvimi ve tedarik zinciri gecikmeleri etkili olmuş. HSM'lerin doğru çalıştığını, sorunun betikte ve süreç denetimlerinde olduğunu vurguluyor. Şirket, birkaç gün sonra küresel sertifika işinden çekilip Hindistan'daki dijital imza hizmetlerine odaklanacağını duyurmuştu.