eMudhra, TLS Sertifikası İşinden Çekildi

eMudhra, zayıf güvenlik önlemleri nedeniyle TLS (Transport Layer Security) sertifikası işinden çekildiğini duyurdu. Şirket, yalnızca 4 bitlik özel bir şifreleme anahtarına sahip olan ve bu nedenle kolayca kopyalanabilen sekiz ara TLS sertifikası vermesiyle gündeme gelmişti. Bu durum, herkesin herhangi bir web sitesi veya e-posta sunucusu için sertifika oluşturmasına olanak tanıyordu.

eMudhra'nın Kararının Nedeni

Şirketin başkanı V. Srinivasan, bu iş kolunun artan maliyetler ve uyum gereksinimlerinin karmaşıklığı nedeniyle sürdürülemez hale geldiğini belirtti. Ayrıca, bu işin sadece şirketin toplam gelirinin %1'ini oluşturduğunu vurguladı. Ücretsiz TLS sertifikası sunan kuruluşların ortaya çıkması, eMudhra'nın bu alandaki kârını daha da azaltmış durumda.

Sosyal Medya ve Kamuoyu Tepkisi

eMudhra, bu durumun ardından sosyal medyada büyük bir yankı uyandırdığını ve bunun şirketin iş modeline orantısız bir şekilde dikkat çektiğini ifade etti. Şirket, bu nedenle global SSL/TLS işinden çekilmenin, hem kendileri hem de hissedarları için doğru bir karar olduğuna kanaat getirdiklerini duyurdu.

Güvenlik Açıkları ve Sonuçları

Araştırmacılar, eMudhra'nın verdiği sekiz sertifikanın özel anahtarlarının son derece zayıf olduğunu ve bu anahtarların birkaç milisaniye içinde kırılabileceğini ortaya koydu. Bu anahtarlar, tüm büyük tarayıcılar ve birçok e-posta sunucusu tarafından güvenilir olarak kabul edilen TLS sertifikaları oluşturmak için kullanılabiliyordu.

NIST P-384 eliptik eğri kriptografi özel anahtarları, yaklaşık 384 bit entropi içermesi gerekirken, eMudhra'nın ihlal edilen sertifikalarında anahtar boyutları 3 ile 8 bit arasında değişiyordu. Bu, potansiyel anahtar kombinasyonlarının sayısının 2384 olması gerekirken, en güçlü hatalı anahtarın yalnızca 256 olabileceği anlamına geliyor. Özel anahtarların değerleri ise 4, 56, 66, 115, 155, 156, 230 ve 237 olarak kaydedildi.

Ne Anlama Geliyor?

Bu durum, TLS sertifikalarının güvenliğinin sağlanmasının ne kadar kritik olduğunu bir kez daha gözler önüne serdi. eMudhra'nın işten çekilmesi, sertifika otoriteleri için daha fazla güvenlik önlemi alınması gerektiğini ve kullanıcıların daha güvenilir hizmetler arayışında olduğunu gösteriyor.