eMudhra, sekiz ara CA sertifikasını daha iptal etti; toplam etkilenen sayısı on altıya çıktı

Şirket, Ekim'deki anahtar ihlali soruşturması sonucunda RSA anahtarlarının güvenli biçimde işlenip işlenmediğini gösterememesi nedeniyle sekiz ara CA daha iptal ettiğini bildirdi.

Sertifika yetkilisi eMudhra, Ekim ayındaki anahtar ihlaline ilişkin soruşturmasının ardından sekiz ara CA sertifikasını daha iptal etti. Böylece etkilenen toplam sertifika sayısı on altıya yükseldi. İlk sekiz CA'nın ECDSA özel anahtarları, Nisan 2025'te donanım güvenlik modülleri arasında yapılan bir anahtar transferi sırasında kullanılan şirket içi bir Python betiğindeki hata yüzünden tek bayta indirgenmişti; bu nedenle herkes anahtarları geri elde edebiliyordu.

Yeni iptal edilen sekiz CA ise RSA tabanlıdır ve bunların anahtarları zayıflatılmamıştır. Ancak şirket, bu anahtar materyalinin ana bilgisayar sürecinin belleğinde bulunduğunu, dolayısıyla sertifika uygulama kurallarına uyulduğunu gösteremediğini açıkladı. Yeni iptal edilen sekiz sertifikanın altısı TLS sertifikası, ikisi ise kod imzalama sertifikası veriyor. Şirket etkilenen müşterilerini yedek sertifikalara geçirdi.

eMudhra halka açık olarak güvenilen TLS sertifikası işinden çekiliyor ve G1 hiyerarşisi altında verdiği sertifikaları 16 Kasım'a kadar durduracak. Sertifika yönetimi ve anahtar üretimi prosedürlerini inceleyecek bağımsız KPMG incelemesinin 4 Aralık'a kadar tamamlanması bekleniyor. Şirket, kötü amaçlı kullanıma ilişkin herhangi bir kanıt bulunmadığını bildirdi.