Apple, Hindistan'daki eMudhra şirketine ait intermediate sertifika otoritesinin 8 adetinin kripto anahtarlarında ciddi zayıflık bulunması nedeniyle güvenlik önlemi aldığını duyurdu. Araştırmacı bu ay başında açığı keşfetti. Saldırganlar bu anahtarları kullanarak meşru web siteleri taklit edip HTTPS güvenliğini kırabilirdi. Şu an bilinen kötü niyetli saldırı yok ama potansiyel tehdit ciddi.
Otomatik, yazılım-güncellemesiz blokaj
Apple, 19 Ekim 2026'den itibaren eMudhra sertifikalarını Safari, Mail ve tüm Apple'ın ağ/güvenlik çerçevesini kullanan uygulamalarda otomatik olarak bloklamaya başladı. Müşterilerin yazılım güncellemesi beklemeye gerek yok—blokaj Apple'ın sunucu tarafında, otomatik. Çoğu Apple cihaz kullanıcısı hiçbir işlem yapmasına gerek yok.
Ancak istisna var: komut satırı araçları (curl, wget gibi) ve bazı kurumsal yazılımlar, Apple'ın bu merkezi blokajı atlatabilir. Sistem yöneticileri dosya kütüphanelerinden sertifikaları manuel olarak kaldırması gerekiyor.
Endüstri çapında tehdit
eMudhra sertifikaları sadece Apple değil, Google Chrome, Microsoft Edge ve Mozilla Firefox tarafından da güveniliyor. Açık kapsamı global. Apple'ın bu hızlı hareketi sektörün standart oldu: diğer tarayıcılar da benzer blokaj yapacak olasılığı yüksek. Olay, güvenlik tehditlerinde hızlı tepki gerekliliğini gösteriyor.
Sertifika sistemi nasıl çalışıyor?
Web güvenliği, SSL/TLS sertifikalarına bağlıdır. Sertifika otoritesi (CA) şirketleri, web sitelerinin kimliğini doğrular ve dijital sertifika verir. Tarayıcı bir siteyi ziyaret ettiğinde, sertifikayı kontrol eder. Eğer CA güveniliyorsa, bağlantı güvenli kabul edilir.
eMudhra'nın problemi: Sertifikalarının özel anahtarları zayıf şifreleme ile oluşturulmuştu. Saldırgan bu anahtarları çalabilir, sahte sertifikalar oluşturabilir. Tarayıcı sahte sertifikayı meşru zanneder, kullanıcı verisi saldırgana gider.
Diğer şirketlerin hareketi
Google, Mozilla, Microsoft zaten eMudhra sertifikalarını incelemeye aldığını açıkladı. Benzer blokajlar şu haftalarda bekleniyor. Bu olay, CA sisteminin ne kadar merkezi ve önemli olduğunu gösteriyor. Tek bir zayıf halka, milyonlarca kullanıcıyı riske atabilir. Uzun vadede, sertifika otoritesi güvenliği ve denetleme mekanizmaları güçlendirilmeli. Araştırmacılar, eMudhra'nın neden bu denli zayıf sertifikalar ürettiğini sorguladı. Cevap: Hindistan CA pazarında rekabet yoğun, kalite kontrol eksik. eMudhra'nın yanında başka CA şirketleri de denetim açısından sorunlu. Bugün eMudhra, yarın başka bir şirket olabilir. Bu nedenle tarayıcı üreticileri, merkezi blokaj sistemleri geliştiriyor. Uzun vadede, blockchain tabanlı sertifika yönetimi, merkezi CA sistemini değiştirebilir. Şimdilik Apple'ın hızlı hareketi, sektörün en iyi örneği. Türkiye'de özellikle bankalar, e-commerce ve devlet kurumları SSL/TLS sertifikalarına bağlıdır. Bugün eMudhra'dan korunduk, ama sektör denetlenmeli. Sektör uzmanları, bu tür açıklıkların tekrar oluşmaması için sertifika otoritelerinin bağımsız denetim altına alınması gerektiğini söylüyor.
