Chrome eMudhra sertifika otoritesine olan güveni sonlandırıyor

Google, zayıf anahtar üretimi vakalarının ardından eMudhra sertifika yetkilisine ait kalan kök sertifikaya olan varsayılan güveni kademeli olarak kaldıracağını duyurdu. Karar, bir güvenlik araştırmacısının eMudhra'ya ait sekiz ara sertifika yetkilisi anahtar çiftinin neredeyse sıfır entropiyle üretildiğini ve özel anahtarların kolayca ele geçirilebilir olduğunu 17 Ekim 2026 tarihinde rapor etmesinin ardından alındı. Chrome ekibi ilk etapta etkilenen ara sertifikaları engelledi ve bir kök sertifikayı Chrome Root Store deposundan çıkardı.

Sürecin devamında Chrome Root Programı ve diğer kök sertifika yöneticileri, eMudhra şirketinden anahtar üretimi ve yönetimi süreçlerine dair ayrıntılı açıklamalar talep etti. eMudhra küresel SSL/TLS sertifika pazarından çekileceğini ve müşterilerini başka sertifika yetkililerine taşıyacağını açıklasa da anahtar yönetim uygulamaları hakkındaki sorulara beklenen düzeyde tatmin edici yanıtlar vermedi. Google yetkilileri, riskin yalnızca bilinen zayıf anahtarlarla sınırlı kalmadığı endişesiyle ek güvenlik adımı attıklarını bildirdi.

Alınan yeni karara göre, 16 Kasım 2026 tarihinden sonra imzalanan ve emSign Root CA - G1 kök sertifikasına bağlanan TLS sunucu sertifikaları Chrome 153 ve üzeri sürümlerde varsayılan olarak güvenilmez kabul edilecek. Bu tarihten önce oluşturulmuş mevcut sertifikalar değişiklikten etkilenmeyecek. Şirketler veya bireysel kullanıcılar işletim sistemi düzeyinde bu sertifikayı açıkça güvenilir kılarsa tarayıcı kısıtlamaları devre dışı kalacak.