Google, zayıf anahtar nedeniyle eMudhra kök sertifikasını kaldırdı

Google, 27 Ekim'de eMudhra'nın emSign ECC Root CA – G3 adlı kök sertifikasını Chrome Root Store'dan kaldırdı. Hâlâ bu sertifikaya dayanan web siteleri, Chrome kullanıcılarına tam sayfa güvenlik uyarısı göstermeye başladı.

Gelişme, Ekim ortasında yaşanan olayların devamı. Bir araştırmacı, Hindistan'ın en büyük lisanslı sertifika otoritesi olan Bengaluru merkezli eMudhra'nın küresel hiyerarşisindeki sekiz sertifika otoritesinin özel anahtarlarının herkesin hesaplayabileceği kadar zayıf olduğunu gösterdi. Her anahtarın yaklaşık 116 basamaklı olması gerekirken sekizi de 256'nın altındaydı.

Anahtar töreninde hata

Anahtarlar, 30 Nisan 2025'te yapılan tek bir anahtar töreninde üretildi. Sektör kuralları, bu törenin yazılı bir senaryoya göre yapılmasını, yetkin bir denetçi tarafından izlenmesini veya videoya alınmasını ve denetçi raporuyla onaylanmasını şart koşuyor. eMudhra'ya göre senaryodaki bir hata ikinci, zayıf bir anahtar seti oluşturdu ve etiketler benzer göründüğü için yanlışlıkla bu set kullanıldı. Sorun yaklaşık 18 ay ve iki denetim döngüsü boyunca fark edilmedi. Kurucu ortak Kaushik Srinivasan olayı “tek seferlik, kötü bir gün” diye tanımladı. Denetçi raporunun iki üç hafta içinde bekleniyor.

17 Ekim'deki bildirimin ardından tarayıcı üreticileri hızlı davrandı. Google altı web sitesi sertifikasını CRLSet ile engelledi, Mozilla birkaç saat içinde aynı adımı attı, Apple 19 Ekim'de, Microsoft ise 20 Ekim'de yama yayımladı. Mozilla 20 Ekim'de G3 kökünü güvenilenler listesinden çıkardı; Chrome de 27 Ekim itibarıyla kaldırdı ve eMudhra'nın kalan köklerinin kalıp kalmayacağını inceliyor. Chrome'a göre bu altı ara sertifikadan hiçbirine ait bir site sertifikası, engellemeden önce herkese açık Certificate Transparency kayıtlarında görünmedi.

TLS'den çekilme ve hesap verebilirlik

Rapordan sonraki beş gün içinde eMudhra yönetim kurulu, küresel TLS sertifikası işinden tamamen çıkma kararı aldı; bu karar G1 kökünü de kapsıyor. Şirkete göre bu iş gelirin yüzde 1'ini oluşturuyordu. 2022'den beri BSE ve NSE'de işlem gören eMudhra, Hindistan'da dijital imza ve eSign hizmetlerini sürdürüyor.

Hindistan'daki tepki ise belirgin biçimde daha yavaş oldu. BT Bakanlığı (MeitY) soruşturma için özel bir ekip kurdu, CERT-In ilk bildirimden dört gün sonra bir uyarı yayımladı. Hindistan'da sertifika otoritelerinin kim tarafından hesaba çekileceği, hangi kuralların çiğnenmiş olabileceği ve olası yaptırımların ne olacağı ise yanıtsız.