eMudhra Sertifika Uzlaştırması: 8 Intermediate CA Anahtarı Ele Geçirildi

eMudhra, Hindistan merkezli bir sertifika yetkilisi, 8 adet intermediate CA private key'inin güvenliğinin ihlal edildiğini duyurdu. Bu durum, saldırganların bu anahtarları kullanarak yasal görünen ancak sahte TLS sertifikaları imzalayabilmesi anlamına geliyor, yani ortadaki adam (MitM) saldırılarına açık kapı.

Private key'ler neden bu kadar kritik? Çünkü bir sertifika yetkilisi (CA) bu anahtarlarla imza atıyor. Eğer anahtar ele geçerse, saldırgan herhangi bir domain (örneğin bank.com) için geçerli görünen sertifika üretebilir. Tarayıcı bunu doğru sanır, kullanıcı farkında olmadan sahte siteye yönlendirilir. Şifreleme, kimlik doğrulama, hepsi çöp olur.

eMudhra'nın bu intermediate CA'ları, binlerce kuruluş tarafından kullanılıyor. Özellikle e-imza, e-ticaret ve devlet hizmetlerinde yaygın. Etkilenen sertifikalar revoke edildi, ama revokasyon kontrol mekanizmaları (OCSP, CRL) her zaman anlık çalışmaz. Bazı eski cihazlar güncellenmiş listeyi almayabilir.

Pratik olarak ne yapmalısın? Eğer eMudhra sertifikası kullanan bir hizmetin müşterisiysen, sağlayıcıdan güncelleme bekle. Sistem yöneticisiysen, sertifika zincirini kontrol et ve gerekirse yeni CA'dan sertifika al. Siber güvenlik ekibiysen, bu intermediate key'lerle imzalanmış şüpheli sertifikaları loglarında ara, MitM saldırısının izleri olabilir.

Bu olay, CA'ların private key'lerini ne kadar sıkı tutması gerektiğini gösteriyor. Tek bir uzlaştırma, milyonlarca kullanıcıyı riske atıyor.