eMudhra Ara CA Anahtar İhlali: Chrome, Mozilla ve Apple Hangi Sertifikaları Engelledi?

eMudhra'nın sekiz ara sertifika otoritesine ait özel anahtarların ele geçirilmesi 17 Ekim 2026'da Mozilla ve Google'a bildirildi; Mozilla'nın hata kaydına, Google'ın 20 Ekim tarihli yazısına ve Apple'ın destek notuna göre bu ara CA'lar engellendi ve emSign ECC Root CA - G3 kökü güven listelerinden çıkarılıyor.

Bu sayfa Mozilla'nın hata kaydı (Bugzilla 2083449), Google'ın Chrome ve Android kullanıcılarını koruma yazısı, Apple'ın 149555 numaralı destek notu ve eMudhra'nın borsaya ilettiği basın açıklaması okunarak yazılmıştır. Haber sitelerinden çeviri yapılmamıştır. Sertifika otoritesi (CA), bir sitenin kimliğini doğrulayan HTTPS sertifikalarını imzalayan kuruluştur; ara CA ise kök CA adına sertifika imzalayan alt otoritedir.

Künye

Ne Oldu?

Mozilla'nın kaydına göre bir araştırmacı, 17 Ekim 2026'da ara CA anahtarlarıyla imzalanmış kanıt göndererek anahtarların ele geçirilebildiğini bildirdi. Kayıtta sekiz ara CA listeleniyor: altısı TLS, ikisi kod imzalama sertifikası düzenleyen otoriteler. Mozilla'nın özetine göre özel anahtarlar 256'dan küçük tam sayılar olarak çıktı; eMudhra bunu anahtar üretim betiğindeki bir hataya bağlıyor. Anahtarların 30 Nisan 2025'teki anahtar töreninde üretildiği kayıtta yazıyor.

eMudhra, sekiz ara CA'yı 18 Ekim'de ele geçirme gerekçesiyle iptal etti. Şirketin 21 Ekim tarihli basın açıklamasına göre küresel TLS işi gelirinin yaklaşık yüzde 1'ini oluşturuyor ve Hindistan'daki dijital imza ve e-imza işleri bu olaydan etkilenmiyor.

Kim Neyi Engelledi?

Google'ın yazısına göre Chrome, emSign ECC Root CA - G3 kökünü Chrome Root Store'dan kaldırıyor ve tüm cihazlarda beklenen tarih 27 Ekim 2026. Mozilla bu kökü kaldırdı; emSign Root CA - G1 kaldırılmadı. Apple, komut satırı araçlarının (curl, git, python3, openssl) baktığı /etc/ssl/cert.pem dosyasının bu engeli uygulamadığını ve düzeltmenin gelecek bir macOS güncellemesinde geleceğini belirtiyor.

Site Sahipleri ve Kullanıcılar İçin Anlamı

Google'a göre anahtarı bilen biri herhangi bir siteyi taklit eden güvenilir bir HTTPS sertifikası üretebilirdi; ancak bu CA'lardan Sertifika Şeffaflığı (CT) günlüklerine sertifika girmediği için CT zorlayan Chrome gibi istemciler sahte sertifikaya maruz kalmadı. Meşru emSign ECC Root CA - G3 sertifikaları kök kaldırıldıktan sonra Chrome'da çalışmayacak; site sahiplerinin farklı bir hiyerarşiden yeni sertifika alması gerekiyor. Kendi CA paketini taşıyan uygulamalar ayrıca güncelleme gerektirebilir. Benzer güvenlik olayları için sitemizdeki Node.js Brotli güvenlik sürümü sayfasına da bakabilirsiniz.

Bu Sayfada Ne Yok?

• Verilen toplam sertifika sayısı: eMudhra ile Bugzilla'daki bir katılımcının iddiaları çelişiyor; çözülmediği için hiçbir rakam yazılmamıştır.
• eMudhra'nın küresel TLS işinden tamamen çekildiği: bu ifade yalnızca Bugzilla özetinde aktarılıyor, şirketin kendi metni okunamadığı için yazılmamıştır.
• Microsoft'un engelleme ayrıntısı: Microsoft'un kendi sayfası okunamadığı için yazılmamıştır.
• Go dili sürüm numaraları ve ilgili CVE: üretici duyurusu okunamadığı için yazılmamıştır.
• Anahtarların hangi yöntemle bulunduğuna dair yorumlar ve yapay zekâ iddiaları: kanıt görülmediği için yazılmamıştır.
• Saldırganların anahtarı kötüye kullanıp kullanmadığı: kaynaklarda bilinmiyor olarak geçtiği için bir sonuç yazılmamıştır.
• Şirketin mali sonuçları: bu sayfanın kapsamı dışındadır.

Sık Sorulan Sorular

eMudhra'nın bütün sertifikaları mı engellendi?

Hayır. Önce sekiz belirli ara CA engellendi; sonra emSign ECC Root CA - G3 kökü kaldırılmaya başlandı. emSign Root CA - G1 kaldırılmadı.

Chrome'u güncellemem gerekiyor mu?

Google'a göre CRLSet güncellemesi için tarayıcı güncellemesi ya da yeniden başlatma gerekmedi.

Sahte sertifika kullanılmış mıydı?

Google, bu CA'lardan CT günlüklerine sertifika girmediğini yazıyor. Kötüye kullanım olup olmadığı kaynaklarda bilinmiyor olarak geçiyor.

Apple cihazlarında ne değişti?

Apple, yapılandırma verisi güncellemesiyle sertifikaları engelledi ve işletim sistemi güncellemesi gerekmediğini belirtti. Komut satırı araçları bu engelin dışında kalıyor.

Site sahipleri ne yapmalı?

Google'ın yazısına göre emSign ECC Root CA - G3 altındaki sertifikaları kullanan siteler başka bir hiyerarşiden yeni TLS sertifikası almalıdır.

Kaynak ve kapsam: Mozilla Bugzilla 2083449; Google, "Protecting Chrome and Android users from compromised eMudhra intermediate CA certificates" (blog.google, 20 Ekim 2026); Apple destek notu 149555 (23 Ekim 2026); eMudhra basın açıklaması (21 Ekim 2026). Sertifika sayısı, TLS işinden çıkış, Microsoft engeli, Go sürümleri ve kötüye kullanım durumu doğrulanamadığı için yazılmamıştır.