Hindistan merkezli dijital sertifika sağlayıcısı eMudhra'nın internet sitelerinin kimliğini doğrulamak için kullandığı bazı özel anahtarların son derece zayıf olduğu ortaya çıktı. Olay, uluslararası bir krize dönüştü.
İnternet üzerindeki güvenli bağlantıların temelini oluşturan dijital sertifika sistemlerinin bir bölümünde ciddi bir güvenlik sorunu ortaya çıktı.
REKLAM
REKLAM
Hindistan merkezli eMudhra şirketinin ürettiği 8 ara sertifika otoritesine ait özel anahtarların kriptografik açıdan son derece zayıf olduğu tespit edildi.
Normal koşullarda tahmin edilmesi neredeyse imkânsız olması gereken bu anahtarların bazılarının yalnızca iki veya üç basamaklı sayılardan oluştuğu, birinin ise sadece “4” rakamı olduğu belirlendi.
Söz konusu anahtarların kolaylıkla hesaplanıp tahmin edilebilmesi, saldırganların güvenilir görünen sahte dijital sertifikalar oluşturmasına ve meşru internet sitelerini taklit etmesine imkân tanıyabilecek bir güvenlik açığı yaratıyor.
Gelişmenin ardından Google ve Mozilla gibi büyük tarayıcı sağlayıcıları etkilenen sertifikalarla ilişkilerini bitirmek için harekete geçti.
Halihazırda küresel çapta geniş yankı uyandıran PHP krizinin ardından, eMudhra nedeniyle "Node.Js" ve "Java" gibi yazılım sistemleri için de güvenlik uyarıları geldi.
Dijital sertifikalar nedir ve neden önemli?
İnternet tarayıcıları, ziyaret edilen internet sitelerinin kimliğini doğrulamak ve şifreli bağlantılar kurmak için "TLS" adı verilen güvenlik protokolünden yararlanıyor.
Bir kullanıcının, bankasının internet sitesine girdiğini düşünelim. Tarayıcı, bağlantı kurduğu sunucunun gerçekten bankaya ait olup olmadığını kontrol etmek için dijital sertifikaları inceler. Bu sertifikalar da güvenilir sertifika otoriteleri tarafından düzenlenir.
Sertifika otoritelerinin kullandığı özel kriptografik anahtarlar mevcut. Bu anahtarlar, sistemin en hassas bileşenleri arasında yer alıyor. Çünkü anahtarlar, düzenlenen sertifikaların gerçekliğini doğrulayan dijital imzaların oluşturulmasında kullanılır.
Bir saldırganın bu anahtarları elde etmesi veya tahmin edebilmesi durumunda, sahte sertifikalar üretmesi mümkün hale gelir.
Böylece saldırgan, uygun koşullarda kullanıcıların gerçek bir internet sitesine bağlandıklarını düşünmelerini sağlayabilir. Bu da kimlik avı saldırılarına, iletişimin izlenmesine veya hassas bilgilerin ele geçirilmesine zemin hazırlayabilir.
Ancak sahte sertifika oluşturabilmek, tek başına herhangi bir internet sitesinin kontrolünü ele geçirmek anlamına gelmiyor. Saldırganın kullanıcıların bağlantılarını yönlendirebilmesi veya iletişime müdahale edebilmesi gibi ek koşullar da gerekiyor.
Özel anahtarlar neden bu kadar zayıftı?
eMudhra, güvenlik sorununun 30 Nisan 2025'te gerçekleştirilen bir anahtar oluşturma işlemi sırasında meydana geldiğini açıkladı.
Şirketin açıklamasına göre anahtarlar, FIPS 140-2 Level 3 standardına uygun donanımsal güvenlik modülleri kullanılarak oluşturuldu. Bu cihazlar, kriptografik anahtarların güvenli biçimde üretilmesi ve saklanması için tasarlanıyor.
Ancak eMudhra, anahtar oluşturma sürecindeki bir hatanın, güçlü anahtarların yanında ikinci bir zayıf anahtar kümesinin üretilmesine yol açtığını bildirdi.
Şirketin ifadesine göre sorun, anahtarların paketlenmesi ve yeniden açılması anlamına gelen "wrap/unwrap" işleminde ortaya çıktı.
Google gibi tarayıcıların güvenilir sertifika listelerine dahil edilen anahtarların ise bu zayıf anahtarlar olduğu belirtildi.
eMudhra, hatanın temel nedenini belirlemek üzere incelemelerini sürdürdüğünü açıkladı.
Şirket ayrıca söz konusu sertifika altyapısının iki yıl üst üste bağımsız denetimlerden geçtiğini ve 2025 ortalarından itibaren tarayıcıların güvenilir sertifika listelerinde bulunduğunu vurguladı.
Ancak bu denetimlerin son derece zayıf anahtarları neden tespit edemediği sorusu henüz yanıtlanmış değil.
Google ve Mozilla harekete geçti
Güvenlik sorununun ortaya çıkmasının ardından Google ve Mozilla, etkilenen sertifikaların güvenilir kabul edilmesini engellemek için önlemler almaya başladı.
Google'ın ilgili kök sertifikaları 27 Ekim 2026'da güvenilir sertifika listesinden çıkarması planlanıyor.
Bu karar, eMudhra tarafından düzenlenen ilgili sertifikaları kullanan bazı meşru internet siteleri ve uygulamalar için de sorun yaratabilir. Güvenilirliği kaldırılan bir sertifikayla çalışan internet sitesine bağlanmaya çalışan kullanıcılar, tarayıcılarında güvenlik uyarısıyla karşılaşabilir.
Sertifikaların zamanında değiştirilmemesi durumunda bazı çevrimiçi hizmetlerde erişim sorunları yaşanabileceği belirtiliyor.
eMudhra, müşterileriyle doğrudan iletişime geçerek etkilenen sertifikaların yenileriyle değiştirilmesi için çalıştığını duyurdu.
Ayrıca, Apple ve Microsoft da söz konusu sertifikaların güvenilir kabul edilmesini engellemek üzere önlemler aldı.
Kullanıcılar ne yapmalı?
Siber güvenlik uzmanları, olayın doğrudan bütün internet kullanıcılarının hesaplarının ele geçirileceği anlamına gelmediğini vurguluyor. Ancak etkilenen sertifikaları kullanan sistemlerde sahte internet sitesi oluşturma ve kimlik avı saldırıları riski bulunuyor.
Uzmanlar, bireysel kullanıcılara internet tarayıcılarını ve cihazlarını güncel tutmalarını, güvenlik uyarılarını görmezden gelmemelerini ve mümkün olduğunda iki aşamalı kimlik doğrulamayı etkinleştirmelerini öneriyor.
Kuruluş ayrıca eMudhra sorununu çözme bahanesiyle gönderilebilecek sahte mesajlara karşı dikkatli olunması çağrısında bulundu.
İnternet sitesi sahipleri ve şirketlerin ise kullandıkları dijital sertifikaları kontrol ederek etkilenenleri değiştirmesi gerekiyor.
eMudhra krizi Java ve Node.js için de güvenlik uyarılarına yol açtı
Hindistan merkezli eMudhra'nın dijital sertifikalarındaki güvenlik sorunu, Java ve Node.js gibi dünya genelinde yaygın kullanılan yazılım teknolojileri için de acil güvenlik uyarılarının yayımlanmasına da neden oldu. Çünkü bu teknolojilerle geliştirilen uygulamalar da internet üzerinden güvenli bağlantılar kurarken dijital sertifikalardan yararlanıyor.
Java'nın geliştiricisi Oracle, 21 Ekim'de CVE-2026-91403 numarasıyla kaydedilen ve 10 üzerinden 9,1 kritik risk puanına sahip güvenlik sorununa ilişkin uyarı yayımladı. Sorun, Java'nın HTTPS bağlantılarında sunucuların kimliğini doğrulamak için kullandığı sertifika güven mekanizmasıyla ilişkili. eMudhra'nın zayıf anahtarlarıyla üretilen sahte sertifikaların güvenilir kabul edilmesi, saldırganların uygun koşullarda gerçek internet sitelerini taklit etmesine ve kullanıcıların iletişimine müdahale etmesine imkân tanıyabilir. Oracle, bu riski gidermek amacıyla etkilenen sertifikaların güvenilir kabul edilmesini engelleyen güncellemeler hazırladı.
Benzer şekilde Node.js geliştiricileri de 21 Ekim'de yayımladıkları güvenlik güncellemelerine eMudhra sertifikalarıyla ilgili korumaları dahil etti. Böylece Node.js üzerinde çalışan ve ilgili sertifika güven zincirine dayanan uygulamaların sahte sertifikaları kabul etmesinin önüne geçilmesi amaçlanıyor. Node.js için aynı tarihte bellek güvenliği, DNS ve diğer bileşenlerle ilgili ayrı güvenlik açıklarını gideren yamalar da yayımlandı. Ancak bu açıklar doğrudan eMudhra olayından kaynaklanmıyor.
Uzmanlara göre olay, tek bir sertifika sağlayıcısındaki güvenlik hatasının farklı yazılım ekosistemlerini nasıl etkileyebildiğini gösteriyor.
Ancak Java ve Node.js'teki uyarılar, bu programlama teknolojilerinin kendi şifreleme algoritmalarının kırıldığı anlamına gelmiyor. Asıl sorun, güvenilir kabul edilen bir sertifika otoritesinin zayıf anahtarlar üretmiş olması. Bu nedenle yalnızca web tarayıcılarının değil, sertifika doğrulaması yapan sunucu uygulamalarının da güvenlik güncellemelerini alması gerekiyor.
ABD'deki Cornell Üniversitesi de etkilendi
Olay aynı zamanda bir ülkedeki küçük bir şirketin hatasının, nasıl küresel çapta bir gündeme dönüşebileceğini gözler önüne seriyor.
Nitekim ABD'deki Cornell Üniversitesi de 21 Ekim'de yayımladığı teknik duyuruda, eMudhra olayı nedeniyle üniversitenin bazı internet sitelerinin etkilenebileceğini açıkladı.
Üniversitenin kimlik yönetimi ekibi, 300'den fazla etkilenen dijital sertifika tespit etti.
Cornell, bu sertifikaların yenilenmemesi durumunda bazı web sitelerinde güvenlik uyarıları görülebileceğini veya sitelerin açılmayabileceğini belirtti. Üniversite, duyuru anında kullanıcılardan henüz sorun bildirimi almadığını da kaydetti.
Gerçek bir saldırı yaşandı mı?
Yaşananlar önemli bir güvenlik zafiyetine işaret etse de bu zafiyetin kötü niyetli saldırılara alet edildiğine dair somut bir kanıt yok.
Hindistan'ın siber güvenlik kurumu CERT-In, zayıf anahtarların kötüye kullanıldığına ilişkin doğrulanmış bir olay bulunmadığını bildiriyor.
eMudhra da etkilenen ara sertifika otoritelerinin son kullanıcı sertifikası düzenlemediğini savunuyor.
Google'ın sertifika şeffaflığı kayıtlarına ilişkin incelemesi de bu açıklamayı destekleyen bulgular içeriyor.
Ayrıca, eMudhra'nın 21 Ekim tarihli açıklamasına göre zayıf anahtarlardan yalnızca biri üretim ortamında kullanılmış ve etkilenen sekiz ara sertifika otoritesinin hiçbiri son kullanıcılar veya internet siteleri için sertifika düzenlememişti.
Şirket etkilenen sertifikaların 19 Ekim'de iptal edildiğini de bildirdi. Bunlar şirketin kendi açıklamaları; bağımsız incelemeler devam ediyor.