Sertifika Otoritesi Ele Geçirilirse Siteniz Ne Olur? eMudhra Olayı, CAA Kaydı ve Sertifika Şeffaflığı İzleme

Kısaca: TechCrunch'ın 21 Ekim 2026'da aktardığına göre Hintli sertifika otoritesi eMudhra'nın özel anahtarları ele geçirildi; bu, saldırganların sahte sertifikalar üreterek meşru sitelere öykünmesine yol açabilecek bir durum. Güvenlik profesyonelleri temizliği “Heartbleed'den büyük” bir iş olarak nitelendirmiş (haberde dolaylı aktarım). Node.js projesi aynı gün yayımladığı güvenlik sürümlerinde CA sertifika deposunu bu olayla ilgili olarak güncelledi (“eMudhra Intermediate CA compromise”). Tarayıcıların ve işletim sistemlerinin güven listesinden bir CA'yı çıkarması, o CA'nın ürettiği tüm sertifikaları geçersiz kılar; bu yüzden olayın etkisi kimin sertifika aldığına bağlı. Siteniz için üç düşük maliyetli önlem: CAA DNS kaydı, sertifika şeffaflığı (Certificate Transparency) izleme ve sertifika yenileme/otomasyon planı. Bu yazı, HTTPS güvenin nasıl çalıştığını ve işletmelerin yapabileceklerini anlatır. Olayın ayrıntıları gelişebilir; TechCrunch haberi ve Node.js duyurusu (23 Ekim 2026) kaynaklarımızdır. Olayın kapsamı hakkında daha fazla birincil kaynak bulamadım.

Son güncelleme: 23 Ekim 2026

HTTPS güveni nasıl çalışır?

Tarayıcıda bir siteye bağlandığınızda, sunucu bir TLS sertifikası sunar. Tarayıcı şunu kontrol eder: bu sertifika, tarayıcının (veya işletim sisteminin) güvendiği bir sertifika otoritesi (CA) tarafından mı imzalandı? Alan adı sertifikadaki adla eşleşiyor mu? Süresi dolmuş mu?

Bu güven zinciri, dünyadaki yüzlerce CA'ya dayanır. Bir CA'nın özel anahtarı çalınırsa, saldırgan o CA adına herhangi bir alan adı için geçerli görünen sahte sertifikalar üretebilir. Eğer saldırgan ayrıca ağ trafiğini araya girerek yönlendirebiliyorsa (kafe Wi-Fi'sı, ele geçirilmiş yönlendirici, DNS saldırısı), kullanıcıya “kilit simgeli” sahte bir site gösterebilir.

eMudhra olayı: Bilinenler

• TechCrunch'a göre Hint sertifika otoritesi eMudhra'nın özel anahtarları ele geçirildi ve bu, sahte sertifikalar üretilmesine olanak verebilir.
• Aynı haberde güvenlik profesyonellerinin temizliği “Heartbleed'den büyük” bir iş olarak nitelendirdiği aktarılıyor.
• Node.js'in 21 Ekim güvenlik sürümü, CA sertifika deposunda “eMudhra Intermediate CA compromise” ile ilgili bir güncelleme içeriyor. Bu, yazılım çalışma zamanlarının güven listesinden ilgili ara sertifikayı çıkardığı anlamına gelir. Ayrıntılar için Node.js güvenlik sürümü yazımıza bakın.

Bilmediğimiz şeyler: saldırının kapsamı, kaç sertifikanın sahte üretildiği veya fiilen kötüye kullanılıp kullanılmadığı. Bu nedenle olayın “siteniz için riski” sizin eMudhra'dan sertifika alıp almadığınıza ve kullanıcılarınızın hangi bölgede olduğuna bağlıdır.

Bir CA ele geçirilince ne olur?

1. Tarayıcı/OS satıcıları o CA'nın (veya ara sertifikasının) güvenini kaldırır; bu bir güncelleme olarak dağıtılır.
2. O CA'dan sertifika almış siteler sertifikalarını başka bir CA'dan yenilemek zorunda kalabilir, çünkü sertifikaları artık güvenilmez olur.
3. Sahte sertifikalarla yapılmış saldırılar, Sertifika Şeffaflığı (CT) günlüklerinde izlenebilir; çünkü tarayıcılar kamuya açık günlüklere kaydedilmemiş sertifikaları genellikle kabul etmez.
4. Yazılımlar (Node.js, işletim sistemi, mobil uygulamalar) güncel güven listesini almazsa eski güven listesiyle çalışmaya devam eder. Bu yüzden çalışma zamanı güncellemeleri önemlidir.

Siteniz için 3 düşük maliyetli önlem

1. CAA DNS kaydı: Kimler sertifika verebilir, siz belirleyin

CAA (Certification Authority Authorization) DNS kaydı, alan adınız için hangi CA'ların sertifika üretmesine izin verildiğini belirtir. CA'lar sertifika vermeden önce bu kaydı kontrol etmek zorundadır. Kullandığınız CA'yı (ör. Let's Encrypt) listeleyip diğerlerini engelleyebilirsiniz. Bu, bir CA'nın ele geçirilmesi durumunda bile saldırganın sizin alan adınız için sahte sertifika üretmesini (kurallara uyan CA'lar üzerinden) zorlaştırır. Sınırı: ele geçirilmiş bir CA kuralları atlayabilir; ama saldırı yüzeyini daraltır.

2. Sertifika Şeffaflığı izleme

Tüm geçerli sertifikalar kamuya açık CT günlüklerine kaydedilir. Alan adınız için yeni bir sertifika verildiğinde uyarı alacak bir izleme servisi (birçok güvenlik ve sertifika aracı sunar) kurarsanız, sizin bilginiz dışında verilen sertifikaları fark edersiniz. Bu, haftalar sonra değil, günler içinde tespit sağlar.

3. Sertifika envanteri ve otomatik yenileme

• Hangi alan adı, alt alan adı ve hizmetin hangi CA'dan hangi sertifikayı kullandığını listeleyin.
• Sertifikaları otomatik yenileyin (ACME gibi protokoller) ve CA değiştirmenin ne kadar sürdüğünü bilin.
• Kritik hizmetlerde yedek CA seçeneğini hazır tutun; bir CA güvenden düşerse hızla geçebilmelisiniz.

Uygulama geliştiriciler için notlar

• Sertifika sabitleme (pinning) yapan mobil/masaüstü uygulamalarda, CA değişikliği uygulamanızı bozabilir; sabitlemeyi güncellenebilir ve yedekli tasarlayın.
• Çalışma zamanı ve işletim sistemi güncel olmalı: Node.js güvenlik sürümü, CA deposunu da yeniliyor.
• Kendi güven deposunu paketleyen uygulamalarda (Docker imajı, tek dosya uygulama) imajı yeniden derleyin.
• IP adresiyle bağlanan iç servislerde TLS ana makine adı doğrulaması önemli: aynı Node.js sürümü bu alanda ayrı açıklar da düzeltti.

Kullanıcılarınız ve çalışanlarınız için

• Tarayıcı ve işletim sistemi güncellemelerini aksatmayın.
• Halka açık Wi-Fi'da hassas işlem yapmayın; VPN ve çok faktörlü doğrulama ek koruma sağlar.
• Tarayıcı bir sertifika uyarısı verirse geçiştirmeyin.

İşletmeler için 6 soru

1. Alan adlarımız hangi CA'lardan sertifika kullanıyor? Hangileri eMudhra?
2. CAA kaydımız var mı?
3. Sertifika şeffaflığı izlemesi kurulu mu?
4. Sertifika yenilemeleri otomatik mi? Başka bir CA'ya ne kadar sürede geçebiliriz?
5. Mobil/masaüstü uygulamalarımızda sertifika sabitleme var mı? Güncellenebilir mi?
6. Çalışma zamanı ve konteyner imajlarımız güncel güven listesiyle mi çalışıyor?

Genel güvenlik önlemleri için web uygulaması güvenliği rehberimize ve acil yama düzeni için yama yönetimi yazımıza bakın.

Aktaş Digital ile güvenli altyapı

Alan adı, DNS, sertifika yönetimi ve izleme gibi altyapı konularını proje başında planlıyor; mevcut siteler için CAA, CT izleme ve sertifika envanteri kurulumu yapabiliyoruz. Kapsam ve maliyet dökümü için teklif formumuzu kullanabilirsiniz. İlgili hizmetlerimiz: web çözümleri.

Sık Sorulan Sorular

Sitem eMudhra sertifikası kullanıyorsa ne yapmalıyım?

CA'nızdan ve tarayıcı/OS satıcılarından gelen duyuruları izleyin; gerekirse sertifikanızı başka bir CA'dan alın. Emin değilseniz sertifikanın yayıncısını (issuer) kontrol edin ve altyapı ekibinizden yazılı bilgi isteyin.

CAA kaydı beni tamamen korur mu?

Hayır; kurallara uyan CA'ların sizin adınıza sertifika vermesini engeller. Ele geçirilmiş bir CA'nın kuralları atlayabileceği düşünülmelidir. Bu yüzden CT izleme ile birlikte kullanın.

Kullanıcılarım tehlikede mi?

Risk, saldırganın araya girebilme imkânına ve sahte sertifikaların gerçekten kullanılıp kullanılmadığına bağlı. Olayın kapsamı hakkında yeterli birincil bilgi bulunmuyor.

Sertifika şeffaflığı izleme ücretli mi?

Birçok araç ücretsiz ya da düşük maliyetli izleme sunar. Seçeneklerinizi altyapı ekibinizle değerlendirin.

Node.js'i güncellemem gerekir mi?

Evet; 21 Ekim sürümleri CA deposunu güncelledi ve başka güvenlik açıklarını kapattı. Bkz. Node.js yazımız.

Sonuç

HTTPS güveni birkaç yüz CA'nın bütünlüğüne dayanıyor; birinin anahtarı ele geçirildiğinde etkisi tüm web'e yayılabilir. Siz CA'yı seçemezsiniz ama CAA kaydı, CT izleme ve otomatik yenileme ile hem riskinizi hem tepki sürenizi azaltabilirsiniz. Bugün yapabileceğiniz ilk iş: alan adlarınızın hangi CA'lardan sertifika kullandığını listeleyip CAA kaydı olup olmadığını kontrol etmek.