eMudhra, daha önce anahtar sızıntısından etkilenmediğini açıkladığı 8 ara sertifika otoritesinin sertifikalarını da iptal etti. Şirketin dijital imza altyapısında kullanılan bu ara CA’lar, eylül-ekim dönemindeki olayın ardından yeniden incelendi ve karar değişti.
İptal edilen her ara CA’nın kendi özel anahtarı bulunuyor. eMudhra, bu anahtarları verdiği sertifikaları imzalamak için kullanıyor. Ekim ayında ele geçirilen 8 ara CA için ilk değerlendirmede sorun, şirketin kullandığı betikteki tek bir satıra bağlanmıştı.
İptal kararı neden değişti
Kuruluş daha önce anahtar sızıntısından etkilenmediğini söylemişti. Ancak son teknik inceleme, Ekim ayında kompromize edilen 8 ara CA’nın durumunun sanılandan farklı olduğunu ortaya koydu. Bunun ardından eMudhra, güven zincirinde rol alan bu yapılar için de iptal işlemi başlattı.
Ara CA’lar, uç sistemlere doğrudan verilen sertifikaları üretmeden önce imzalama işini yürüten katman olarak çalışıyor. Bu nedenle bir ara CA’nın özel anahtarının ele geçirilmesi, sertifika ekosisteminde daha geniş bir güven sorunu yaratabiliyor. eMudhra da adımını bu zincirdeki riski yeniden değerlendirerek attı.
Tek satırlık betik hatası ve Ekim vakası
Şirketin aktardığı teknik çerçeveye göre, Ekim’de yaşanan olay bir saldırı zincirinden çok yapılandırma kaynaklı bir hataya dayanıyordu. İncelemelerde, kullanılan betikteki tek bir satırın 8 ara CA’yı etkileyen sorunun parçası olduğu belirtildi. Bu ayrıntı, ilk açıklamadaki “etkilenmedi” değerlendirmesinin neden geri çekildiğini de gösteriyor.
eMudhra’nın yeni kararıyla birlikte, daha önce güvenli varsayılan bu ara CA’lar da iptal kapsamına alındı. Şirket, sertifika ekosistemindeki durumu yeniden ele aldığını ve Ekim ayında kompromize edilen unsurlar için ek önlemler uyguladığını bildirdi.