Cloudflare: eMudhra'nın zayıf anahtarlarıyla 22 bin TLS denemesi görüldü

Kısaca

Cloudflare, eMudhra'nın zayıf ara sertifika anahtarlarına ilişkin incelemesini yayımladı. Şirket 21 Ekim'den bu yana yaklaşık 22 bin zayıf anahtarlı TLS el sıkışma denemesi gördü; bunların üçte ikisi test sitelerine, kalanı çoğunlukla kendi sertifikasını oluşturan kaynaklara gitti. Cloudflare yüksek öncelikli sistemlerini yamaladı.

eMudhra'nın sekiz ara sertifika anahtarı tahmin edilebilir değerlerden oluşuyordu

Cloudflare yüksek öncelikli sistemleri saatler içinde yamaladı

Yapay zekâ destekli kod analiziyle dört saatte tüm etkilenen sistemler bulundu

Bir haftada yaklaşık 22 bin zayıf anahtarlı TLS el sıkışma denemesi kaydedildi

Doğrulama yapan tüm el sıkışmalar reddedildi

Ne oldu?

Cloudflare, 19 Ekim 2026'da ortaya çıkan eMudhra zayıf anahtar olayına ilişkin ikinci ve daha ayrıntılı incelemesini yayımladı. eMudhra'nın ara sertifika anahtarlarından sekizi olağanüstü zayıftı: şirketin 115 haneli bir sayı seçmesi gerekirken seçtiği değerlerden biri yalnızca "4"tü. Diğerleri de 56, 66, 115, 155, 156, 230 ve 237 gibi tahmin edilebilir sayılardı.

Cloudflare'e göre bu, geçmişteki sertifika otoritesi ihlallerinden (DigiNotar, TÜRKTRUST, TrustWave) farklı: etkilenen özel anahtarlar, herkesin erişebildiği genel sertifikalardan neredeyse anında geri çıkarılabiliyor. Yani kötü niyetli biri, yamalanmamış istemcilerin kabul edeceği sahte sertifikalar üretebiliyor.

Cloudflare ne yaptı?

Şirket, yüksek etkili sistemleri 19 Ekim'de yamamaya başladı. Müşteri kaynaklarına giden ve giden bağlantıların çoğunu yöneten Pingora tabanlı proxy'ler saatler içinde zayıf eMudhra anahtarlarını reddedecek şekilde güncellendi. Yapay zekâ destekli bir kaynak kod analiziyle dört saat içinde zayıf anahtarlara güvenen tüm diğer sistemler tespit edildi. Yazı kaleme alındığında yüksek öncelikli sistemlerin tamamı yamalanmıştı; düşük etkili birkaç kayıt üzerinde çalışılıyordu.

İstismar izleri

Cloudflare, Pingora'ya zayıf anahtarlarla imzalanmış sertifikaları günlüğe kaydetme özelliği ekledi. 21 Ekim'de tamamlanan kayıt sonrası bir haftada yaklaşık 22 bin el sıkışma denemesi görüldü. Bunların üçte ikisi emudhra.we-have-a-problem.com gibi test sitelerine yapılan isteklerdi. Kalan üçte birinin neredeyse tamamı, zayıf ara sertifikayı kullanarak kendine sertifika oluşturan kaynaklara gitti. Doğrulama yapan tüm el sıkışmalar reddedildi.

Dikkat çeken yaklaşık 160 denemede sertifikaların Subject Alternative Name (SAN) alanlarında başka kuruluşların adları yer alıyordu.

Açık sorular

eMudhra, kamu sertifika otoritesi işinden çekildiğini ve anahtar üretim betiğinde bir hata olduğunu açıkladı, ancak betiği henüz paylaşmadı. Cloudflare, doğru üretilmiş olabilecek bir anahtarla imzalanan sertifika iptal listesinin (CRL) sonradan zayıf anahtarla imzalanmasının neden alarm üretmediğini ve denetçiler ile çapraz imzalayanların rolünü sorguluyor.