eMudhra, daha önce "etkilenmedi" dediği 8 ara CA'yı da iptal etti; Microsoft 16 Kasım'da kalan 10 kök sertifikayı kaldırmaya başlıyor

emSign markasıyla sertifika satan Hint sertifika otoritesi eMudhra, Ekim'deki anahtar zafiyetinden etkilenmediğini söylediği 8 RSA ara sertifika otoritesini (intermediate CA) de iptal etti. Şirketin Mozilla hata takip sistemine yüklediği tam olay raporuna göre sorunun kaynağı, 30 Nisan 2025'teki bir anahtar töreninde (key ceremony) kullanılan şirket içi bir Python betiği.

Aynı betik, Ekim'de iptal edilen 8 ECDSA ara CA'nın özel anahtarlarını tek bir kod satırı yüzünden ilk baytına indirmişti. Bu, anahtarların kolayca hesaplanabilmesi demek; The Hacker News 8 anahtarın tamamını açık sertifikalardan hesapladığını yazdı.

Yeni iptaller neden geldi? Rapora göre betik, anahtarları farklı üreticilerin HSM'leri arasında taşımak için yazılmıştı ve 8 RSA anahtarını da HSM'den okuyup tören bilgisayarının belleğine aldı. Bu anahtarlar kısalmadı ve imzaları hâlâ doğrulanıyor; ancak özel parçaları bir Python sürecinin belleğinde bulundu. eMudhra, bu nedenle anahtarların kendi CPS kurallarına uygun işlendiğini kanıtlayamadığını kabul etti. İptaller, tarayıcı kök programlarıyla görüşmelerin ardından geçen hafta sonunda yapıldı. Hata takibine katılanlar, şirketin keyCompromise yerine cessationOfOperation gerekçe kodunu seçmesini sorguluyor.

Etki ve takvim - İptal edilen 8 CA'nın 6'sı TLS, 2'si code signing için kullanılıyordu; şirketin listesinde bunlardan çıkmış 195 sertifika var. Şirket, sahiplerin yeni sertifikalara geçirildiğini söylüyor. - Zayıf anahtarlar Haziran 2025'teki geçersiz CRL imzalarında ilk işaretini vermiş, ancak iki WebTrust denetim döngüsünde fark edilmemişti. - eMudhra kötüye kullanım bilmediğini belirtiyor. Certificate Transparency'yi zorunlu tutan tarayıcılar kandırılamazdı; bu denetimi yapmayan yazılımlara karşı kullanım olup olmadığı bilinmiyor. - Şirket, 22 Ekim'de kamuya açık güvenilir TLS işinden çıkacağını duyurmuştu. Microsoft, 16 Kasım'da emSign Root CA - G1 dahil kalan 10 eMudhra kökünü kaldırmaya başlayacak; bu köklere zincirlenen sertifikalar Windows ve Edge'de varsayılan güveni kaybedecek. - KPMG'nin bağımsız incelemesi 4 Aralık'ta, tüm CA anahtarlarının envanteri 30 Kasım'da tamamlanacak.

Ne yapılmalı? 1. Ortamınızda emSign/eMudhra zincirli sertifika olup olmadığını tarayın: sertifika envanteri ya da tarayıcıdaki sertifika görüntüleyicisinde "Issuer" alanında emSign/eMudhra geçen sertifikaları listeleyin. 2. Windows'ta kurulu emSign köklerini salt okunur olarak görmek için: CODE0 3. emSign zincirli TLS ya da code signing sertifikası bulursanız 16 Kasım'dan önce başka bir CA'ya geçişi planlayın; imzalı iç uygulamalarda güven hatası beklenebilir. 4. Certificate Transparency loglarında G2C TLS issuer'larını arayarak adınıza düzenlenmiş beklenmedik sertifika olup olmadığını kontrol edin. 5. Kendi PKI'nizi işletiyorsanız anahtar törenlerinde üretilen anahtarın gücünü ve sertifikadaki anahtarla eşleşmesini doğrulayan bir adım olup olmadığını gözden geçirin.