Microsoft, eMudhra Sertifikalarına Güveni Kaldıran Acil Windows Güncellemelerini Yayınladı
Microsoft, eMudhra sertifika otoritesine bağlı ele geçirilmiş anahtarlarla ilişkili sertifikalara duyulan güveni kaldırmak için Windows’a acil güncellemeler yayınladı. 26 Ekim’de sunulan KB5134133 ve KB5134125 paketleri, otomatik sertifika güven güncellemelerini alamayan veya Microsoft’un ilgili hizmetlerine erişemeyen sistemleri hedefliyor. Şirket, etkilenen sertifika hiyerarşilerindeki yedi sertifikayı Windows güven listesinden çıkarırken kalan eMudhra kök sertifikaları üzerindeki incelemesini sürdürüyor.
Microsoft, Windows Sertifika Güven Listesinden Yedi Sertifikayı Çıkarıyor
Microsoft’un yayınladığı acil güncellemeler, eMudhra ile bağlantılı sertifika hiyerarşilerine yönelik güven kararını genişletiyor. Windows 11’in 24H2, 25H2 ve 26H2 sürümleri için KB5134133, Windows 10’un 21H2 ve 22H2 sürümleri için ise KB5134125 paketi sunuluyor. Güncellemeler özellikle internet bağlantısı bulunmayan, Microsoft’un sertifika güncelleme hizmetine erişemeyen veya otomatik Sertifika Güven Listesi (CTL) güncellemeleri devre dışı bırakılan cihazlar için önem taşıyor.
Microsoft, 26 Ekim’de Windows güven listesinden altı eMudhra G3 kök sertifikasını ve bir AAA Certificate Services çapraz imzalama sertifikasını kaldırdı. Şirket, aynı yedi sertifikanın 27 Ekim’de Microsoft Edge’in güven listesinden de çıkarılacağını açıkladı. Bu adım, daha önce engellenen belirli ara sertifika otoritelerinin ötesine geçerek ilgili kök sertifikalara duyulan güveni de kapsıyor.
Güvenlik sorununun temelinde, eMudhra’ya ait sekiz ara sertifika otoritesi özel anahtarının son derece zayıf değerlerle oluşturulması bulunuyor. Söz konusu anahtarların tamamı Nisan 2025’te üretildi ve her birinin değeri 256’dan küçük kaldı. Bu nedenle saldırganlar, yalnızca 256 olası sayıyı deneyerek anahtarları neredeyse anında elde edebilecek bir konumdaydı.
Ele geçirilen özel anahtarlar, saldırganların meşru internet siteleri için sahte dijital sertifikalar oluşturmasına ve şifrelenmiş iletişimi araya girerek izlemesine zemin hazırlayabilirdi. Dijital sertifikalar, tarayıcıların bir sunucunun kimliğini doğrulamasına yardımcı olduğu için sertifika otoritesine duyulan güvenin bozulması HTTPS bağlantılarının güvenliğini de etkileyebilir.
eMudhra, açığın ortaya çıkmasının ardından etkilenen sekiz ara sertifikayı iptal etti. Mozilla, Google ve Apple gibi yazılım sağlayıcıları da kendi platformlarında ilgili sertifikalara yönelik güveni kaldırma sürecini başlattı. Microsoft ise daha önce Windows’un İzin Verilmeyen Sertifika Güven Listesini güncelleyerek etkilenen sekiz ara sertifika otoritesini engelledi; bunların altısı TLS, ikisi ise kod imzalama amacıyla kullanılıyordu.
Microsoft Edge ile WebView2 için yayınlanan CRLSet güncellemesi de etkilenen TLS sertifikalarının engellenmesini sağladı. Bu yöntem, söz konusu engellemenin tarayıcının tamamını güncellemeden uygulanmasına yardımcı oldu. Yeni Windows güncellemeleri ise yalnızca bilinen ele geçirilmiş ara sertifikaları engellemekle kalmayıp ilgili kök sertifikalara yönelik güven kararını da değiştiriyor.
Microsoft, bir kök sertifikayı güven listesinden çıkarmanın bilinen ara sertifika otoritelerini iptal etmekle aynı işlem olmadığını vurguluyor. Kök sertifikaya yönelik güvenin kaldırılması, ilgili hiyerarşi altında düzenlenen daha geniş bir sertifika kümesini etkileyebilecek ayrı bir güvenlik kararı niteliği taşıyor. Bu nedenle kuruluşların yalnızca bilinen sekiz ara sertifikayı değil, kaldırılan kök sertifikalara dayanan diğer sertifikaları da incelemesi gerekiyor.
Şirket, belirli bir uyumluluk gereksinimi bulunan kuruluşların kendi güvenlik değerlendirmeleri ve politikaları doğrultusunda ilgili sertifikalara yerel olarak güven vermeyi seçebileceğini belirtiyor. Ancak böyle bir istisna, etkilenen sertifikaların oluşturduğu riski kuruluşun ayrıca değerlendirmesini gerektiriyor.
Microsoft, özellikle çevrim dışı Windows cihazlarına güncellemelerin yüklenmesini ve kaldırılan kök sertifikalara bağımlı sertifikaların belirlenmesini öneriyor. Bu sertifikaların bazıları yeni güven zincirleriyle değiştirilmek zorunda kalabilir. Kurumların sertifika envanterlerini kontrol etmesi, kullanılan TLS sertifikalarını gözden geçirmesi ve kod imzalama süreçlerinde ilgili sertifika hiyerarşilerine bağımlılık bulunup bulunmadığını doğrulaması gerekiyor.
Microsoft, kalan eMudhra kök sertifikalarını incelemeyi sürdürüyor ve ihtiyaç duyulması hâlinde güven listelerinde yeni değişiklikler yapabileceğini belirtiyor. Kurumsal BT ekiplerinin güncellemeleri uygulamanın yanında sertifika bağımlılıklarını takip etmesi, ileride alınabilecek ek güven kararlarının hizmet kesintilerine yol açma riskini azaltacak.
