Hindistan devlet siteleri iptal edilen eMudhra sertifikalarını kullanıyor
Öne çıkanlar
- eMudhra'ya bağlı sekiz ara sertifikanın güvenlik açığı nedeniyle iptal edilmesiyle Mozilla ve Chrome kök sertifikayı güvensiz ilan etti.
- Şirket, kural ihlali gerekçesiyle 19 Ekim'de 9 bin 356 RSA sertifikasını topluca yürürlükten kaldırdı.
- Hindistan devlet siteleri dizininde yer alan 156 alan adı iptal edilmiş sertifikaları sunmayı sürdürüyor.
Hindistan merkezli sertifika sağlayıcısı eMudhra'nın emSign ECC Root CA - G3 köküne bağlı sekiz ara sertifikasının özel anahtarlarının kolayca ele geçirilebilir olduğu 17 Ekim'de ortaya çıktı. Ertesi gün iptal edilen bu ara köklerin ardından Mozilla ve Chrome, G3 kök sertifikasına olan güveni sonlandırdı. Sertifika sağlayıcısı ayrıca 19 Ekim'de kendi ilkelerine aykırı olarak sertifika türü ilkesi eksik olan 9 bin 356 RSA sertifikasını topluca yürürlükten kaldırdı.
Hindistan Elektronik ve Bilgi Teknolojileri Bakanlığı (MeitY), 21 Ekim'de bir açıklama yaparak olayın yerel siteler üzerindeki etkisinin son derece sınırlı kaldığını ve kısa sürdüğünü savundu. Ancak kusurlu anahtarların Nisan 2025'ten beri dolaşımda olması ve yaklaşık 30 bin sertifikanın taşınmak zorunda kalması, bakanlığın iddialarıyla çelişiyor. Tarayıcıların güvensiz ilan ettiği G3 kökünden etkilenen kullanıcıların önemli bir kısmını ABD üniversiteleri oluşturuyor.
Resmi web dizinindeki 8 bin 947 devlet sitesi üzerinde yapılan incelemede, 23 Ekim itibarıyla 156 alan adının hâlâ 19 Ekim'de iptal edilmiş eMudhra sertifikalarını sunduğu belirlendi. Bu siteler arasında bakanlığa bağlı STPI, UIDAI, Bhashini ve Hindistan'daki sertifika kuruluşlarını denetlemekle sorumlu Controller of Certifying Authorities gibi resmi kurumlar da yer alıyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.