Güvenlik Danışmanlığı: eMudhra Araç Sertifika Otoritesi İhlali

Yönetici Özeti

Elo Touch Solutions, ticari bir Sertifika Otoritesi (CA) olan eMudhra Technologies Limited ile ilgili sanayi çapında bir kriptografik açığı aktif olarak izlemekte ve ele almaktadır. 17 Ekim 2026'da, güvenlik araştırmacıları, eMudhra tarafından işletilen sekiz ara CA sertifikasına ait özel anahtarların kritik kriptografik hatalarla (yalnızca 3 ila 8 bitlik son derece zayıf entropi) üretildiğini açıkladı; bu durum, üçüncü şahısların özel imza anahtarlarını hemen çıkarmalarına olanak tanımaktadır.

Elo müşterilerine potansiyel etkisi, Elo kurumsal Android ve Windows ürün serileri ile sınırlıdır. Otomatik koruma kapsamının anlaşılması önemlidir:

• Android 14 GMS Cihazları: 19 Ekim 2026'da sunulan acil Google Play Hizmetleri güncellemesi ile korundu.
• Windows Cihazları: 20 Ekim 2026'da Microsoft Windows Yasaklı Sertifika Güven Listesi güncellemesi ve Microsoft Edge ile WebView2 için otomatik bir CRLSet güncellemesi ile korundu.
• Android 13 ve altı, yalnızca AOSP yapılandırmaları, ve GMS dışı cihazlar: Otomatik olarak korunmamaktadır. Yöneticiler, Google’ın gelecek yamanı içeren resmi Elo OS yazılım güncellemesi yayınlanıp yüklenene kadar bu danışmanlıkta açıklanan manuel hafifletme planını uygulamalıdır.

Diğer Elo ürünleri etkilenmemiştir. Elo’nun kurumsal altyapısı, bulut hizmetleri (EloView, Elo Radar ve Elo Remote) ve iç sistemleri tehlikeye atılmamıştır. Bu danışmanlık anında, Elo müşterilerine karşı aktif bir istismar bildirilmemiştir.

Özet

• Sorun: Sekiz eMudhra ara Sertifika Otoritesi ile ilgili kritik bir kriptografik hata açıklandı; bu durum, saldırganların güvenli web sitelerini taklit etmelerine veya güvenilir imzaları sahteleştirmelerine olanak tanıyabilir.
• Etki: Etki, Elo kurumsal Android ve Windows cihazları ile sınırlıdır; diğer tüm Elo ürünleri ve çözümleri etkilenmemiştir. Bu zafiyet yalnızca eMudhra'nın dış anahtar üretim sürecinden kaynaklanmıştır. Elo altyapısı, bulut platformları ve iç sistemler tamamen güvenli ve tehlikeye atılmamıştır.
• Android için Çözüm (Android 14 GMS): Koruma, arka planda Play Hizmetleri ve tarayıcı güncellemeleri aracılığıyla sessizce ve otomatik olarak sağlanmıştır. Firmware güncellemesi veya manuel bir işlem gerekmemektedir.
• Android için Çözüm (Diğer Sürümler): Android 13 ve altı, AOSP ve GMS dışı için, Google, Elo'nun daha sonra bir OS firmware güncellemesine entegre edeceği bir yamanın güncellemesini sağlayacaktır. O zamana kadar, aşağıdaki manuel hafifletme planını kullanın.
• Windows için Çözüm: Windows Yasaklı Sertifika Güven Listesi ve CRLSet'e yönelik tamamen otomatik güncellemeler, tehlikeye atılmış anahtarları otomatik olarak engeller.

Android’de Mimariye Göre Ayrıntılı Etki Analizi

1. Android Web Tarayıcıları (Google Chrome)

Chrome, kendi bağımsız kök deposunu yönetir ve temel Android işletim sistemi güven deposuna dayanmaz. Chrome, tehlikeye atılmış sertifikaları bloklamak için iç iptal listesi (CRLSet) aracılığıyla sessiz iç güncellemeler dağıtmıştır. Ayrıca, Chrome'un yerleşik Sertifika Şeffaflığı (CT) uygulaması, iptalden önce kaydedilmiş hiçbir geçerli sertifika olmadığı için sahte bir sertifika sunmak için yapılan herhangi bir girişimi anında reddedecektir.

2. WebView Kullanan Android Yerel Uygulamaları

WebView kontrol API'sını kullanan uygulamalar (örneğin Elo WebView Controller), sistem düzeyinde güncellemeler gerektirir:

• Android 14 GMS cihazlarında: Google Play Hizmetleri, tehlikeye atılmış sekiz genel anahtar hash'ini Android'in güvenli sistem kara listeye otomatik olarak eklemiştir. Teknik doğrulama, bu kara listenin fabrika ayarlarına sıfırlanan cihazlarda internet bağlantısı ile bir saniye içinde geldiğini göstermiştir.
• Diğer Android sürümleri/AOSP'de: Sistem düzeyinde güncellemeler Play Hizmetleri aracılığıyla mevcut değildir. Bu cihazlar, gelecek Elo OS firmware güncellemesi uygulanana kadar zayıf kalmaya devam edecektir.

Manuel Hafifletme Planı

Kısıtlı ağlarda çalışan Android 13 ve altı, yalnızca AOSP ve GMS dışı cihazlar için gereklidir.

Ağ Düzeyinde Telafi Edici Kontrol

Büyük kurumsal filolar için, güvenli web geçidinizi veya kurumsal güvenlik duvarınızı kullanarak tehlikeye atılmış eMudhra ara anahtarları tarafından imzalanmış sertifikaları sunan gelen/giden bağlantıları engellemek şiddetle önerilir (örn. Zscaler, Palo Alto Networks, Fortinet).

Manuel Sertifika Devre Dışı Bırakma Prosedürü

1. Ağaç Ayarlar > Güvenlik (veya Güvenlik & Gizlilik > Daha Fazla Güvenlik Ayarları) gidin.
2. Seçin Şifreleme & kimlik bilgiler > Güvenilir kimlik bilgiler.
3. Sistem sekmesinde, aşağıdaki iki kök sertifikayı bulun ve Devre Dışı Bırak seçeneğini açın (doğrudan ve çapraz imzalı varyantları kapsar):
   • emSign ECC Root CA - G3 (eMudhra Technologies Limited altında listelenmiştir)
   • AAA Sertifika Hizmetleri (Comodo CA Limited altında listelenmiştir)

Not: Bu köklerin devre dışı bırakılması, Android sistem TLS ve WebView uygulamalarını güvence altına alır. Chrome gibi bağımsız tarayıcılar, otomatik iç güncellemelerine güvenmeye devam edecektir.

Doğrulama ve Test Uç Noktaları

Güvenlik yöneticileri, aşağıdaki bağımsız test uç noktalarını kullanarak yerel cihaz ve ağ güvenlik yapılandırmalarını doğrulayabilir:

• Ana Tehlikeye Atılmış Ara Test: https://dv-g3b-emudhra.we-have-a-problem.com/
• Genel Olay Referansı ve Test Seti: https://emudhra.we-have-a-problem.com/

Diğer Elo Ürünleri ve Hizmetleri

Elo etkileşimli dokunmatik ekran göstergeleri, tabelalar, satış noktası sistemleri, çevre birimleri ve arka uç yönetim araçları, etkilenmiş eMudhra sertifika zincirlerini kullanmamakta veya onlara güvenmemekte ve tamamen etkilenmemektedir. Elo bulut hizmetleri (EloView, Elo Radar ve Elo Remote dahil) eMudhra tarafından verilen sertifikaları kullanmamaktadır.

Kaynaklar & Bilgiler

• Microsoft'un Tehlikeye Atılmış eMudhra Sertifika Otoritesi Anahtarlarına Yanıtı
• Google Güvenlik Blogu: Chrome & Android Kullanıcılarını Tehlikeye Atılmış eMudhra Ara CA Sertifikalarından Koruma

Feragat: Güncelleme dağıtım süreleri bölge, cihaz modeli ve üçüncü taraf tedarikçiye göre değişiklik göstermektedir. Bazı güncellemelerin, düzeltme uygulanmadan önce işletim sisteminin en son bakım sürümünü çalıştırmasını gerektirebilir. Bu danışmanlık yalnızca bilgi amacıyla "olduğu gibi" temelinde sağlanmaktadır; Elo Touch Solutions, açık veya zımni olarak tüm garantilerden, özellikle bir ticari mükemmeliyet ve belirli bir amaca uygunluk garantilerinden feragat etmektedir. Elo, ek bilgiler mevcut olduğunda bu danışmanlığı güncelleme hakkını saklı tutar.