eMudhra TLS işinden çıkıyor, kök programlar yanıt bekliyor

eMudhra herkese açık TLS sertifika işinden çıkıyor ve onu en çok sınayan iki kök programı açıklamasını kabul etmedi. Hindistan merkezli güven hizmetleri şirketi, bir araştırmacının ara CA anahtarlarından sekizinin kolayca kurtarılabildiğini bildirmesinden beş gün sonra, 22 Ekim’de küresel SSL/TLS sertifikalarından çekileceğini duyurdu. eMudhra’nın basın bültenini ve olay açıklamalarını, ayrıca Chrome ve Mozilla’nın 23 Ekim yanıtları dahil Mozilla’nın herkese açık olay kaydını okuduk. Bu yazıda eMudhra’nın ne dediği, kök programlarının ne yanıt verdiği, sertifika sahipleri için ne anlama geldiği ve hangi iddiaların hâlâ kontrol edilmediği var.

eMudhra ne duyurdu?

Yönetim Kurulu’nun “küresel SSL/TLS sertifika işinden gönüllü olarak çekilmeye karar verdiğini”. Basın bülteni çıkış tarihi vermiyor. Şunları söylüyor:

• G1 RSA kökleri müşterilere hizmet vermeyi sürdürecek; geçiş bitene kadar, eMudhra tarayıcı programları ve müşterilerle çalışırken.
• Yedek sertifikalar “ortaklar” üzerinden ücretsiz verilecek. eMudhra etkilenen müşterilere ulaşacağını söylüyor. Bülten ortakları adlandırmıyor.
• İptal ve durum hizmetleri, verilen her sertifikanın süresi dolana ya da değiştirilene kadar çalışmaya devam edecek.
• Tarayıcı kök programlarına karşı kalan taahhütler tamamlanacak, tam bir kök neden raporu dahil.
• Diğer işler etkilenmiyor. eMudhra dijital imza sertifikalarını, eSign ve diğer imza hizmetlerini, kurumsal PKI ürünlerini (emCA, CertiNext), emSigner’ı ve kimlik ürünlerini sayıyor. Küresel TLS altyapısının ayrı çalıştığını söylüyor.

eMudhra neden ayrıldığını söylüyor?

Bültende Başkan V. Srinivasan dört gerekçe veriyor: küresel SSL/TLS küresel gelirin yaklaşık %1’ini oluşturuyor, veri egemenliği ve uyum gereksinimleriyle karmaşıklık ve maliyet artıyor, bazı büyük kuruluşlar TLS sertifikasını ücretsiz veriyor ve olay etrafındaki “sosyal medyada büyütme”, “SSL/TLS’in işimizdeki yeriyle orantısız bir denetim” getirdi. Bülten ayrıca eMudhra’nın olayı titizlikle ele aldığını, etkilenen CA’ları “keşiften sonraki 14 saat içinde” iptal ettiğini, bunlardan uç kullanıcı sertifikası vermediğini ve altyapı ihlali ya da veri sızıntısı yaşamadığını ekliyor.

Chrome ve Mozilla nasıl yanıt verdi?

Herkese açık olarak, Mozilla’nın olay kaydında ve sert bir dille. Kayıt, anahtar ihlalinin herkese açık dosyası.

• 21 Ekim, Chrome Root Program: eMudhra’ya bir soru listesi gönderdi. eMudhra’nın durum sayfasının ve 21 Ekim basın bülteninin ne güven kaldırılan kökü ne de etkilenen ara sertifikaları ad, seri numarası ya da parmak iziyle belirttiğini, güven kaldırma takvimi vermediğini ve abonelere etkilenip etkilenmediklerini nasıl kontrol edeceklerini söylemediğini belirtti. emsign.com markasının, iki belgeyi de taşımayan bir ürün sayfasına yönlendirdiğini de ekledi.
• 23 Ekim, eMudhra: bir eMudhra çalışanı kayıtta, yoğun sosyal medya denetimi ile yatırımcı ve müşteri analizinin anlamlı bir analizi “neredeyse imkânsız” hale getirdiğini, anahtar töreninin 30 Nisan 2025’te yapıldığını ve eMudhra’nın ifşa yükümlülüklerini yerine getireceğini yazdı.
• 23 Ekim, Chrome Root Program: denetimin ve yatırımcı analizinin gecikmiş yanıtlar için “kabul edilebilir açıklamalar olmadığını” söyledi ve denetimi eMudhra’nın kendi başarısızlığının, herkesin kurtarabildiği ara CA anahtarlarının öngörülebilir sonucu olarak niteledi. eMudhra’nın incelemesine öncelik vermesini beklediğini belirtti.
• 23 Ekim, Mozilla Root Program: eMudhra’ya 20 Ekim’de 20:31 UTC’de, 24 saatlik süreyle soru gönderdiğini, süre dolunca eMudhra’nın 24 saat daha istediğini ve Cuma gününe kadar yanıt almadığını söyledi. Chrome’un kaygılarını paylaştığını ekledi.

22 Ekim’de ayrı bir yorum, eMudhra’dan yedek ortakları, yedeklerin zincirleneceği kökleri, yeniden verilecek sertifika sayısını ve takvimi açıklamasını istedi. Kayıtta bir yanıt görmedik.

Sertifika sahipleri için ne anlama geliyor?

Duyurunun kendisi tarayıcıların etkilenen sertifikalara yaklaşımını değiştirmiyor. Mozilla ve Chrome etkilenen ara sertifikaları 17 Ekim’de engelledi ve emSign ECC Root CA - G3’ü kaldırma kararı ilk yazımızda anlattığımız gibi duruyor. Çıkışın eklediği, müşterileri taşımak için tarihsiz bir söz. eMudhra TLS sertifikanız varsa, onu hangi CA’nın verdiğini kontrol edin, size ulaşılmasını beklemek yerine başka bir CA’dan yedek planlayın ve tarayıcı dışındaki yazılımlarda CA paketlerini güncelleyin. Kayıttan daha önce aktardığımız gibi yaklaşık 30.000 sertifikanın taşınması gerekiyordu, çoğu ACME ile verilmişti ve aboneler G1 RSA zincirlerine taşınıyordu. Çıkış duyurusu, geçişten sonra bu zincirlere ne olacağını söylemiyor.

eMudhra’nın hangi iddiaları kontrol edilebilir?

Bazıları herkese açık kayıtla karşılaştırılabiliyor ve karşılaştırma karışık. Bunlar bizim gözlemlerimiz:

• “Keşiften sonraki 14 saat içinde.” Kayıt, araştırmacının raporunu 17 Ekim’de yaklaşık 18:05 UTC’ye, eMudhra’nın teyidini yaklaşık 21:28 UTC’ye koyuyor. Sekiz ara sertifika 18 Ekim’de yaklaşık 09:24 ile 09:38 UTC arasında iptal edildi. Bu, teyitten yaklaşık 12 saat, rapordan yaklaşık 15,5 saat (bizim hesabımız); yani rakam başlangıç noktasına bağlı.
• Hiç uç kullanıcı sertifikası verilmedi. eMudhra bunu bültenlerinde ve durum sayfasında söylüyor ve Certificate Transparency kayıtlarının bunu doğruladığını belirtiyor. Araştırmacının zaman çizelgesi, eMudhra’nın 17 Ekim’de EM DV TLS CA - G3C adlı bir ara sertifikanın canlı olduğunu, sonra devre dışı bırakıldığını teyit ettiğini söylüyor. Canlı olmak ile sertifika vermek aynı şey değil ve Certificate Transparency kayıtlarını biz kontrol etmedik.
• Anahtarlar nasıl zayıfladı. eMudhra’nın durum sayfası, anahtar töreninin bir adımındaki bir kusurun, bir wrap/unwrap adımı üzerinden ikinci, zayıf bir anahtar seti üretmesine yol açtığını ve yayımlananların zayıf anahtarlar olduğunu söylüyor. HSM’lerin FIPS 140-2 Seviye 3 sertifikalı olduğunu belirtiyor. Kayıtta tam kusura dair açık sorular duruyor ve yorumcuların istediği tören betiği ya da raporunun kayıtta yayımlandığını görmedik.
• Denetimler. Durum sayfası hiyerarşinin iki bağımsız denetim döngüsünü geçtiğini söylüyor. Bir yorumcu, aynı ara sertifikalarda geçersiz CRL imzalarına dair daha önceki bir uyum hatasının denetçilere bildirilip bildirilmediğini sordu. Yanıt görmedik.

Henüz bilinmeyenler neler?

• Kök neden. eMudhra kök programlarına tam bir kök neden raporu sözü verdi, tarih yok.
• Çıkışın ne zaman biteceği, hangi ortakların müşterileri devralacağı ve yedeklerin hangi köklere zincirleneceği.
• eMudhra’nın diğer anahtarlarının etkilenip etkilenmediği. Mozilla’nın önceki analizi iki eski serinin anahtarlarını kurtaramadı ve RSA anahtarları incelenmemişti.
• Anahtarları kimsenin kullanıp kullanmadığı. Kimsenin çalması gerekmedi ve okuduğumuz hiçbir şey bunu yanıtlamıyor.
• Mozilla ve Chrome’un kalan G1 RSA köklerine geçişten sonra nasıl yaklaşacağı.

Akılda tutulacaklar

Bunlar bizim gözlemlerimiz:

• İşten çıkmak yükümlülükleri bitirmez. eMudhra kök neden raporunu yine de vereceğini söylüyor ve Mozilla ile Chrome onu bunun için herkese açık olarak sıkıştırıyor.
• Verdiği gerekçeler ticari, kendisinden istenen yanıt teknik. Gelir payı ve ücretsiz rakipler, bir anahtar töreninde ne olduğunu yanıtlamıyor.
• AI ayrıntısı kayıtta. Mozilla’dan Dennis Jackson 18 Ekim’de, yerel ajanların anahtarları basit, capture-the-flag tarzı bir istemle ilk denemede kurtardığını yazdı. Değerler tek bayt olduğu için AI gerekmiyordu, ama ucuz araçlar bu kontrolü herkes için rutin hale getiriyor.
• Kendi zincirlerinizi kontrol edin. Sertifikalar için eMudhra’ya dayanıyorsanız, duyuruyu güvence olarak değil bir geçişin başlangıcı olarak okuyun.

Editoryal inceleme: 23 Ekim 2026 (AI). eMudhra’nın 22 ve 21 Ekim basın bültenleri ile olay açıklaması (hepsi sayfa metni olarak okundu) ve herkese açık Mozilla Bugzilla kaydı 2083449 (Mozilla’nın herkese açık API’siyle, 23 Ekim 14:35 UTC’ye kadar olan yorumlar dahil okundu) üzerinden hazırlandı. eMudhra, Mozilla veya Chrome ile iletişime geçmedik, Certificate Transparency kayıtlarını kontrol etmedik ve kayıttaki PDF eklerini açmadık. Kaydın ayrıntıları okumamızdan sonra değişmiş olabilir.