--- title: "İnternet alarmda: 8 zayıf TLS sertifikası güvenliği tehdit ediyor" url: "https://teknotayf.com/haber/internet-alarmda-8-zayif-tls-sertifikasi-guvenligi-tehdit-ediyor" markdown_url: "https://teknotayf.com/haber/internet-alarmda-8-zayif-tls-sertifikasi-guvenligi-tehdit-ediyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-20 22:47:35" updated: "2026-10-21 10:55:42" category: "Siber Güvenlik" tags: ["Siber Tehdit","Kriptografi","eMudhra","TLS Güvenliği","Sertifika İhlali"] source: "Ars Technica" --- # İnternet alarmda: 8 zayıf TLS sertifikası güvenliği tehdit ediyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/internet-alarmda-8-zayif-tls-sertifikasi-guvenligi-tehdit-ediyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Salı günü Hindistan merkezli eMudhra Limited’e ait sekiz ara TLS sertifikasının özel anahtarlarının son derece zayıf olduğu ortaya çıktı. Tarayıcı üreticileri sertifikaları engellemeye başladı ancak Linux dağıtımları ve IoT cihazlarının güncellenmesi zaman alacak. Uzmanlar temizlik işinin Heartbleed vakasından daha uzun süreceğini söylüyor. - **Yayın tarihi:** 2026-10-20 22:47 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Tehdit, Kriptografi, eMudhra, TLS Güvenliği, Sertifika İhlali - **Yazan:** TeknoTayf.com - **Kaynak:** [Ars Technica](https://arstechnica.com/security/2026/10/the-internet-goes-on-high-alert-after-discovery-of-8-compromised-tls-certs/) ![İnternet alarmda: 8 zayıf TLS sertifikası güvenliği tehdit ediyor](https://teknotayf.com/assets/uploads/2026/10/921608b0517b50ba8ee4168232f1ce71.jpg) Salı günü dünya genelindeki güvenlik ekipleri yüksek alarmda. Sekiz TLS sertifikasının özel anahtarları o kadar zayıf ki, internetteki herhangi bir site için güvenilir tarayıcı ve uygulama kimlik bilgileri oluşturulmasına kimin izin verebileceği endişesi doğdu. Salı sabahının son saatlerinde tarayıcı üreticileri ve bazı büyük uygulamalar ile programlama dilleri **sekiz ara sertifikayı** engelledi. Sertifika şeffaflığı kayıtlarında, tüm tarayıcıya güvenilen sertifikaların düzenlenmesini izleyen kayıtlarda, tehlikeye atılan anahtarların kötüye kullanıldığına dair bir rapor yok. Tehdit uzak değil; Linux dağıtımları ve gömülü sistemler ile Nesnelerin İnterneti cihazları gibi internetin diğer kilit parçalarının güncellenmesi zor ve zaman alıcı olacak. ## Tek kelimeyle: çılgınca Sekiz ara sertifika Hindistan merkezli sertifika otoritesi **eMudhra Limited**’e ait. Salı günü emudhra.we-have-a-problem.com adresine yayınlanan gayriresmi bir duyuru “We have a problem here – Wayne.” mesajını paylaştı. Sözler eMudhra sertifikalarından birinin özel anahtarıyla dijital olarak imzalandı. Raporlayan tarafın anahtarı kontrol ettiğini kanıtlamasıyla birlikte savunma ekipleri harekete geçti; aynı anahtar milyonlarca sunucu tarafından güvenilecek yetkisiz sertifikalar imzalamak için de kullanılabilir. “Bu, Heartbleed’den daha büyük bir temizlik işi olacak,” diye konuştu açık kaynaklı Go programlama dilinin kriptografi bakımını da yapan kriptografi mühendisi Filippo Valsorda. “Çok, çok uzun bir kuyruk olacak; IoT cihazları, Docker kapsayıcıları, unutulmuş Linux makineleri, kendi kök kopyalarını taşıyan bakımsız CLI araçları. Bazı ekosistemlerde, Python gibi, bu yaygın. Ayrıca Linux dağıtımları güncellemeleri hâlâ yayınlıyor, bazıları henüz hazır değil ve sistem yöneticilerinin bunları çok sayıda makineye uygulaması gerekecek.” Heartbleed, OpenSSL kriptografi kütüphanesindeki kritik bir güvenlik açığının adı. 2014’te kitlesel olarak istismar edildi. Sömürüler, taraflar arasındaki TLS korumalı alışverişlerin birçok ilgisiz saldırgan tarafından şifresinin çözülmesine izin verdi. Özel TLS sertifika anahtarları, oturum çerezleri ve parolalar da ele geçirildi. Saldırılar binlerce sunucuyu, aralarında büyük şirketlerin ve dünya genelindeki devlet kurumlarının da bulunduğu sistemleri tehlikeye attı. Kurtarma, yıllar süren bir dizi adımı gerektirdi. Adımlar arasında etkilenen cihazlarda OpenSSL’in yama edilmesi, milyonlarca TLS anahtarının yeniden düzenlenmesi, eski sertifikaların iptal edilmesi, parolaların ve oturum belirteçlerinin döndürülmesi ve gömülü cihazlar ile unutulmuş sistemlerin güncellenmesi yer aldı; bu işlem özellikle internet ölçeğinde son derece zaman ve kaynak yoğundu. “Her seferinde çok farklı kişilerin farklı bağlamlarda bir şey yapması gerektiğinde iş uzun sürer,” diye açıkladı Valsorda. “Bu sefer bağlamlar, insanlar ve heterojenlik daha fazla.” Tehlikeye atılan eMudhra anahtarları, olayı inceleyen birçok mühendisin hayal gücünü zorlayan düzeyde kusurluydu. Normalde NIST P-384 eliptik eğri kriptografi özel anahtarı yaklaşık 384 bit entropi içerir; bu, yaklaşık 2 üzeri 384, yani 116 basamaklı bir sayı kadar farklı olasılığa izin verir. Tehlikeye atılan anahtarların özel anahtar boyutları 3 ile 8 bit arasında değişiyordu. Şaşırtıcı biçimde özel anahtarlar 4, 56, 66, 115, 155, 156, 230, 237 idi. “Bu, ‘bunun mümkün olmaması gereken’ kategorisinde son derece uç bir durum,” dedi Valsorda. “Belki de korkunç derecede tehlikeli bir anahtar oluşturma arayüzünde ‘boyut’ parametresi var ve biri yanlışlıkla 1 olarak ayarlamış?” BGP.tools direktörü Ben Cartwright-Cox, “Tahminim bunun üretim ortamına sızan örnek kod olduğu yönünde, ama emin olmak zor. Ancak kimsenin fark etmemesi çılgınca,” ifadelerini kullandı. Bu erken aşamada en acil tehdit, özellikle trafiği kötü niyetle engellemeye eğilimli hükümetlerin bulunduğu ülkelerde VPN kullananlar için görünüyor. Endişe verici olabilecek başka birçok durum da muhtemel. Son kullanıcıların çoğu, birçok tarayıcı dışı TLS iletişimi biçimini, güncellemelerin yapıldığına dair güvence alana kadar ertelemekten başka çareye sahip değil. Bildirildiği üzere çoğu tarayıcı ara sertifikaları zaten engelledi. İstisna, bu makale yayına girdiğinde hâlâ 12 savunmasız ana bilgisayara bağlanan Windows 10 üzerinde çalışan Edge gibi görünüyor. Nedenini ve şirketin bunu yapma planı olup olmadığını soran sorulara yanıt olarak bir Microsoft temsilcisi, paylaşacak bir şeyleri olursa şirketin iletişime geçeceğini söyledi. Bu arada Signal, WhatsApp, Wireguard ve gizlilik için TLS’ye dayanmayan diğer uygulamalar etkilenmiyor. Bu sayfa ve emudhra.we-have-a-problem.com sitesi şimdiye kadar yama yapılan uygulamaları gösteriyor. Olay, TLS rejimindeki ölümcül bir kusuru bir kez daha ortaya çıkardı. Sistem en zayıf halkası kadar güçlü; bu durumda bu eMudhra’ydı. Neyse ki şeffaflık kayıtları bu başarısızlığın büyük kısmını hesaba katıyor, ancak bu önlem tarafların devasa akışları aktif olarak izlemesini gerektiriyor ve yalnızca yetkisiz sertifikalar düzenlendikten sonra çalışıyor. eMudhra temsilcileri soruları yanıtlamak için hemen ulaşılamadı. Bir uyarı: Tehlikeye atılan sertifikalardan yararlanmak, aktif bir adam-ortasında saldırısı gerektirir; yani saldırgan iki TLS tarafı arasında vekil olarak hareket etmeli, şifrelenmiş trafiği almalı, şifresini çözmeli, yeniden şifrelemeli ve diğer tarafa göndermelidir. Bu yetenekler bazı durumlarda genellikle yalnızca en iyi donanımlı saldırganlarla sınırlıdır. Bir kahve dükkânı, üniversite veya başka bir kuruluşta yerel ağın kontrolünü elinde bulunduran kişiler için zorluk çok daha azdır. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/internet-alarmda-8-zayif-tls-sertifikasi-guvenligi-tehdit-ediyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.