Cloudflare, eMudhra'nın zayıf anahtarlarına yönelik sömürü girişimlerini ve yama sürecini açıkladı
Cloudflare, 19 Ekim 2026'da öğrendiği eMudhra'nın sekiz zayıf anahtarını takiben sistemlerini yamaladı; bir haftada yaklaşık 22.000 zayıf anahtarlı el sıkışma girişimi ve 50 milyon sonda gözlemledi. Android WebView gibi gömülü tarayıcıların %30-40'ı hâlâ zayıf anahtarları kabul ediyor.
Zayıf anahtarların ölçeği
Cloudflare, 19 Ekim 2026'da eMudhra'nın sekiz zayıf anahtarını öğrendi. eMudhra'nın sanal kombinasyon kilidi için seçtiği sayı 4 idi; dört haneli bile değil, yalnızca 4 sayısıydı. Diğer yedi zayıf anahtar 56, 66, 115, 155, 156, 230 ve 237 değerlerindeydi.
Etkilenen ara sertifika özel anahtarları, herkes tarafından genel sertifikaların kendisinden neredeyse anında kurtarılabilirdi. Bu nedenle herkes aynı imzalama anahtarlarını bağımsız olarak kurtarabiliyor ve Sertifika Şeffaflığını uygulamayan yamalanmamış bir istemcinin kabul edeceği herhangi bir alan adı için sertifika oluşturabiliyordu. Cloudflare Blog, eMudhra'nın kamu sertifika otoritesi işinden çıktığını duyurdu bilgisini paylaşıyor. eMudhra, muhtemelen doğru üretilmiş bir anahtarla bir sertifika iptal listesi (CRL) imzaladı ve ardından bunu zayıf anahtarla imzalanacak şekilde düzeltti.
Geçmişte DigiNotar, TÜRKTRUST ve TrustWave gibi sertifika otoriteleri de ele geçirilmişti ancak bu olaylarda anahtarlara erişim bir dereceye kadar sınırlı kalmıştı.
Cloudflare'ın yama süreci
Cloudflare, yüksek etkili sistemleri 19 Ekim'de hemen yamamaya başladı. Yüksek etkili sistemler arasında, giden bağlantıların çoğundan sorumlu olan Pingora kullanan müşteri kaynağına bakan proxyler yer alıyordu. Bu proxyler, savunmasız eMudhra anahtarlarını reddetmek için saatler içinde yamalandı.
Cloudflare, zayıf anahtarlara güvenen diğer tüm sistemleri bulmak için kaynak kodunun yapay zeka destekli analizini başlattı ve her sistem için ön analiz içeren bir ticket atadı. Dört saat içinde tam bir analiz elde edildi. Dört saatlik tam analiz sonrasında, yüksek etki tespit edilen yerlerde hemen yama yapılması istendi, düşük etkili olanlar için ise düzeltme geçen hafta sonuna kadar tamamlanacaktı.
Cloudflare, müşteri sunucusu veya saldırgan eMudhra'nın zayıf anahtarlarıyla imzalanmış bir sertifika sunduğunda izlemek için Pingora'ya günlük kaydı ekledi. Giden TLS bağlantılarının büyük çoğunluğunu oluşturan Pingora'ya eklenen günlük kaydı, eMudhra anahtarlarıyla gizlice dinleme girişimlerini tetikleyecek şekilde tasarlandı. Günlük kaydı 21 Ekim'de tamamlandı.
Cloudflare Blog, yazı sırasında tüm yüksek öncelikli Cloudflare sistemleri yamalandı bilgisini paylaşıyor. Yazı sırasında tüm yüksek öncelikli Cloudflare sistemleri yamalanmış olsa da, az sayıda onaylanmış düşük etkili ticket üzerinde çalışılmaya devam ediliyor.
Ağda gözlenen sömürü girişimleri
Yaklaşık 22.000 el sıkışma girişimi zayıf eMudhra anahtarlarıyla yapıldı. Girişimlerin üçte ikisi emudhra.we-have-a-problem.com gibi test sitelerinin getirmeleriydi. Yaklaşık 22.000 el sıkışma girişiminin neredeyse tamamı, sertifikayı doğrulayacak şekilde yapılandırıldığı için reddedildi çünkü Cloudflare zaten yamalanmıştı.
Bu el sıkışmalardan yaklaşık 160'ı, sertifikaların Subject Alternative Names alanında bağlantıda istenen SNI ile ilgisiz başka kuruluşların alan adlarını içeriyordu. SNI ile ilgisiz alan adlarını içeren bu 160 el sıkışmasından bazıları tüketici IoT cihazlarıyla ilgili alan adlarıydı. Bazı sahte sertifikaların geçerlilik süresi iki yıldan fazlaydı; bu, hiçbir kamu sertifika otoritesinin izin veremeyeceği bir süre olduğu için dikkat çekti.
Görülen sahte sertifikalardan biri 20 Ekim 18:19 UTC tarihliydi. Bu sahte sertifika, Mozilla'nın hata raporunun kamuya açılmasından bir saatten kısa süre sonra tarihlenmişti.
Ziyaretçilerde yama durumu
Cloudflare, challenge sayfalarının bir kısmında ca1.cloudflarecaptcha.com ve ca2.cloudflarecaptcha.com adreslerine iki sonda bağlantısı gönderdi. Sondalardan biri eMudhra imzalı sertifikaya, diğeri düzenli imzalı sertifikaya sahipti; bu ikisinin başarılı olup olmaması ziyaretçinin zayıf anahtarlara hâlâ güvenip güvenmediğini gösterdi. Cloudflare Blog, cloudflare son bir haftada 50 milyon sonda gerçekleştirdi bilgisini paylaşıyor.
Challenge sayfalarına giden trafik tasarım gereği oldukça çarpıktır ve onaylanmamış botlar içerir; ayrıca yalnızca JavaScript çalıştıran istemciler sonda gönderir. Android WebView gibi gömülü tarayıcılar yamada geride kalıyor ve hâlâ %30-40'ı zayıf anahtarları kabul ediyor. Büyük ağlarda sondaların yarısından fazlası hâlâ ele geçirilmiş zinciri kabul ediyor.
Cloudflare, 23 Ekim 15:30 UTC'de kontrol uç noktasını SCT'siz bir eMudhra sertifikası da sunacak şekilde değiştirdi. Cloudflare'ın challenge platformu 23 Ekim 16:30 UTC'de ilgisiz bir sorun nedeniyle önceki bir sürüme geri döndü. Sondalar 27 Ekim 10:00 UTC'de geri döndü.
Cloudflare, 27 Ekim 16:37 UTC'de G3 çapraz imzasını göndermediğini fark etti ve her iki uç noktaya da ekledi. Cloudflare, 27 Ekim 16:49 UTC'de ca2'yi AAA Certificate Services köküne zincirleyecek şekilde değiştirdi. Cloudflare Blog, cloudflare, 27 Ekim 18:18 UTC'de sondaları ödeme yapmayan müşteri bölgelerindeki tüm challenge sayfalarının %1'inden %10'una çıkardı bilgisini paylaşıyor.
Cloudflare, 29 Ekim saat 18:00 UTC civarında macOS üzerinde Chrome 150-154 olarak tanımlanan büyük bir bot trafiği akınını yakalayan bir tespit yayımladı. Cloudflare, eMudhra zayıf anahtarlarını öğrendikten sonraki gün acil durum önlemlerine ilişkin bir blog yazısı yayımladı.
