eMudhra, 17 Ekim hafta sonu ortaya çıkan anahtar hatasının ardından küresel SSL/TLS sertifika işinden çıkma kararı aldı. Hindistanlı sertifika otoritesinin yönetim kurulu kararı 22 Ekim’de açıklandı. Şirket, işin küresel gelirinin yaklaşık yüzde 1’ine denk geldiğini söylüyor.
Kırılma noktası 30 Nisan 2025’te yapılan anahtar töreniydi. Şirketin açıklamasına ve güvenlik araştırmacılarının analizine göre donanım güvenlik modülündeki anahtar sarmalama testi, asıl anahtarların yanında ikinci bir Eğri P-384 anahtar seti üretti. Bu ikinci setin özel anahtarları 256’dan küçük tam sayılardı; yani tahmin edilebilir.
Kritik ayrıntı şu: tarayıcıların kök depolarına yayımlanan ara sertifikalar, güçlü anahtarlı olanlar değil bu zayıf setten üretilenlerdi. Sekiz ara sertifika etkilendi. Özel anahtarı bilinen bir ara sertifika, o sertifikanın altında istendiği kadar sertifika üretmek anlamına gelir.
Araştırmacı kanıtı 17 Ekim’de yayımladı: sekiz anahtarın her biriyle imzaladığı bir mesajla özel anahtarlara sahip olduğunu gösterdi. Aynı gece Mozilla ara sertifikaları iptal listesine aldı; Google, Apple ve Mozilla köklerine güvenmeyi bıraktı. Savunma tarafındaki tepki saatler içinde geldi.
Ardından sertifika zinciri adım adım kapandı. Go 1.27.3 ve 1.26.10 sürümleri CVE-2026-111943 ile kökleri engelledi; Sectigo çapraz imzaları geri çekti; Google emSign ECC Root CA G3’ü Chrome kök deposundan kaldırma sürecini başlattı. Hindistan CERT-In 21 Ekim’de “yetersiz kriptografik rastgelelik” tespitini yayımladı ve etkilenen ara sertifikalardan uç sertifika üretilmediğini belirtti.
Sertifika zincirinde ara sertifika, kök ile müşteri sertifikası arasındaki imza makamı. Bir tarayıcı kökü değil ara sertifikayı engellediğinde, o ara sertifikanın altındaki bütün uç sertifikalar güvensiz sayılıyor. eMudhra ve CERT-In, bu ara sertifikaların altında müşteri sertifikası bulunmadığını söylüyor; iddia kayıp alanını daraltıyor ama kökün itibarını geri getirmiyor.
Bir kurumun kökü kaldırıldığında toparlanma yolu uzun: yeni bir kök için tarayıcı üreticilerinin denetimi, yıllar süren uyum süreci ve müşteri tarafında sertifika değişimi gerekiyor. Şirketin Hindistan’daki dijital imza işi bu yüzden ayrı tutuluyor; orada güven zinciri tarayıcı köklerinden değil, ulusal düzenlemeden geliyor.
Şirket 21 Ekim’de altyapısının ihlal edilmediğini, veri sızıntısı olmadığını ve Hindistan’daki dijital imza hizmetlerinin etkilenmediğini açıkladı. Borsa tarafı bunu ikna edici bulmadı: hisse 21 Ekim’de yüzde 20 düşüşle 540 rupiden 432 rupiye indi, piyasa değeri 5.021 crore rupiye geriledi. Hisse son bir ayda yüzde 35 kaybetti.
Bir sertifika otoritesi için kök programdan çıkmak, itibarın geri dönmediği yerdir. Tarayıcı üreticileri kökü kaldırdığında o sertifika otoritesinin ürettiği her sertifika uyarı verir; müşteri sertifikayı değiştirmeden site çalışmaz. eMudhra’nın ücretsiz değişim ve iptal hizmetlerini sürdürme taahhüdü bu yüzden zorunlu bir adım, tercih değil.
Takip edilecek: şirketin kök programlara vereceği kök neden raporu, etkilenen kurumsal müşterilerin değişim takvimi ve CERT-In ile Hindistan BT Bakanlığı’nın süreci. Şeffaflık notu: şirketin 22 Ekim açıklaması birincil kaynak; Mozilla, Go ve CERT-In tespitleri ikincil aktarımlarla teyit edildi. Anahtar bitleriyle ilgili teknik ayrıntılar güvenlik araştırmacılarının analizine dayanıyor.
