Şirket, yayımladığı bazı aracı sertifika anahtarlarının son derece zayıf olduğu ve bu durumun her web sitesi veya e-posta sunucusu için sahte sertifika üretilmesine imkân tanıdığı iddialarıyla karşı karşıya kaldı. Yönetim kurulu, bu gelişmelerin ardından şirketin bu sektördeki varlığını sonlandırma kararı aldığını duyurdu.
4 Bitlik Anahtar ve Güvenlik Tehdidi
Araştırmacılar, eMudhra tarafından yayımlanan 8 aracı TLS sertifikanın özel anahtarlarının, bulundukları alanda bulunması gereken yaklaşık 384 bitlik entropi yerine, sadece 3 ile 8 bit arasında değişen aşırı zayıf değerlere sahip olduğunu ortaya koydu. Bu kusurlu anahtarlar arasındaki en güçlüsü bile yalnızca 256 olasılık sunuyordu; yani bir saldırgan, bu anahtarları milisaniyeler içinde kırarak tüm büyük tarayıcıların ve sayısız e-posta sunucusunun güvenini kazanan sahte sertifikalar oluşturabilirdi. Söz konusu zayıf anahtarların değerlerinin 4, 56, 66, 115, 155, 156, 230 ve 237 olduğu belirlendi.
Teknik Hata ve Şirket Açıklaması
eMudhra, 30 Nisan 2025'te FIPS 140-2 Seviye 3 Donanım Güvenlik Modülleri (HSM) kullanılarak gerçekleştirilen bir anahtar üretimi töreninde (KGC) yaşanan bir yazılım hatasının, orijinal güçlü anahtarların yanında ikinci bir zayıf anahtar seti ürettiğini açıkladı. Şirket, bu zayıf anahtarların tarayıcı kök depolarına yayıldığını ve kök nedenin belirlenmesi için çalışıldığını belirtti. Tarayıcı geliştiricileri, bu güvenlik açığının keşfedilmesinin üzerinden 1-2 gün içinde etkisiz kılınması için ilgili sertifikaları engelledi.
Kararın Arkasındaki Nedenler
eMudhra Yönetim Kurulu Başkanı V. Srinivasan, kararın arkasındaki nedenleri maliyetler ve uyumluluk gereksinimlerindeki artış olarak niteledi. TLS hizmetinin şirketin toplam gelirinin yalnızca yüzde 1'ini oluşturduğunu ve ücretsiz sertifika sağlayan kuruluşların yükselişinin yatırım getirilerini düşürdüğünü ifade etti. Srinivasan, sosyal medyadaki aşırı yansımaların işin gerçek ağırlığıyla orantısız bir denetime yol açtığını ve paydaşlar için küresel SSL/TLS'den çekilmenin en doğru tercih olduğunu vurguladı. Sektör kurallarını belirleyen CA/Browser Forum'un da şirketin otorite statüsünü iptal etme riski bulunduğu kaydedildi.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.