eMudhra प्रमाणपत्र खामी की जांच का भारत का आदेश, ब्राउज़रों ने कमज़ोर कुंजियां रोकीं

भारत के इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय ने बेंगलुरु स्थित प्रमाणपत्र प्रदाता eMudhra में हुई सुरक्षा घटना की जांच के लिए एक विशेष टीम बनाई है। कंपनी की आठ मध्यवर्ती प्रमाणपत्र कुंजियां खतरनाक रूप से कमज़ोर पाई जाने के बाद मंत्रालय ने बुधवार, 21 अक्टूबर को X पर पोस्ट की एक शृंखला में जांच की घोषणा की और कहा कि उसने घटना को गंभीरता से लिया है।

कमज़ोर कुंजियां उस प्रणाली के अंदर हैं जिसका इस्तेमाल वेब यह साबित करने के लिए करती है कि कोई साइट वही है जिसका वह दावा करती है। एक प्रमाणपत्र प्राधिकरण पहचान की जांच करता है और डिजिटल प्रमाणपत्र जारी करता है। ब्राउज़र सुरक्षित HTTPS कनेक्शन के लिए उन प्रमाणपत्रों पर भरोसा करते हैं। अगर किसी हमलावर को कमज़ोर निजी कुंजी मिल जाए तो वह फर्जी प्रमाणपत्र बनाकर वैध वेबसाइटों का रूप धर सकता है, सुरक्षा शोधकर्ताओं ने चेतावनी दी।

खामी कैसे हुई

eMudhra ने कहा कि उसकी कुंजी बनाने की प्रक्रिया के एक चरण ने मज़बूत कुंजियों के साथ दूसरी, कमज़ोर कुंजियों का एक सेट बना दिया। कुंजियां 30 अप्रैल 2025 को बनाई गई थीं और कमज़ोर सेट ब्राउज़र रूट स्टोर में प्रकाशित हो गया, जहां वह करीब 18 महीने तक पकड़ में नहीं आया। कंपनी ने कहा कि उसकी रूट निजी कुंजी से छेड़छाड़ नहीं हुई, उसके बुनियादी ढांचे में सेंध नहीं लगी और ग्राहकों का कोई डेटा नहीं लिया गया।

यह खामी 17 अक्टूबर को सामने आई, जब एक शोधकर्ता ने Apple, Google, Microsoft और Mozilla को आगाह किया कि आठ प्रमाणपत्रों से जुड़ी निजी कुंजियों को संभवतः AI की मदद वाली तकनीकों से उलटा जा सकता है। भारत की कंप्यूटर आपात प्रतिक्रिया टीम CERT-In ने कहा कि प्रभावित आठ प्रमाणपत्रों में छह TLS प्रमाणपत्र और दो कोड साइनिंग प्रमाणपत्र शामिल हैं। TLS प्रमाणपत्र वेबसाइटों, ब्राउज़रों और ऐप के बीच कनेक्शन सुरक्षित करते हैं। कोड साइनिंग प्रमाणपत्र सॉफ़्टवेयर की गारंटी देते हैं।

ब्राउज़रों की कार्रवाई और मंत्रालय की सीमा

Google ने प्रभावित कुंजियां रोक दीं और कहा कि Chrome 27 अक्टूबर से जुड़े रूट, emSign ECC Root CA - G3, को अपने ट्रस्ट स्टोर से हटाएगा। Mozilla ने रिपोर्ट मिलने के तीन घंटे के भीतर Firefox में प्रमाणपत्र रोक दिए। ब्राउज़र संचालकों ने एहतियात के तौर पर रूट से भरोसा वापस लिया और CERT-In ने नुकसान सीमित करने के कदमों के साथ एक सलाह जारी की। सलाह में चेतावनी है कि रूट हटाने से कुछ वैध प्रमाणपत्र अविश्वसनीय हो सकते हैं, जिससे प्रभावित वेबसाइटें और सेवाएं बाधित हो सकती हैं।

मंत्रालय ने साफ किया कि यह घटना किसे नहीं छूती। उसने कहा कि मामला केवल eMudhra के अंतरराष्ट्रीय वेबसाइट सुरक्षा कारोबार से जुड़ा है, जो एक वैश्विक ट्रस्ट ढांचे और अलग ऑडिट के तहत चलता है। भारत में विनियमित डिजिटल हस्ताक्षर प्रमाणपत्र और eSign सेवाएं अलग प्रणालियों पर चलती हैं और पूरी तरह अप्रभावित हैं, मंत्रालय ने कहा। उसने भारत की वेबसाइटों और ऐप पर असर को बहुत सीमित और संक्षिप्त बताया और सोशल मीडिया पर डर फैलाने के खिलाफ चेतावनी दी।

eMudhra ने कहा कि प्रभावित आठ मध्यवर्ती प्राधिकरणों में से किसी ने भी अंतिम उपयोगकर्ता प्रमाणपत्र जारी नहीं किए। उसने अमेरिका में प्रभावित एक ग्राहक प्रणाली का नाम लिया, जहां प्रमाणपत्र बदले जा रहे हैं। मामले के केंद्र में मौजूद वैश्विक TLS कारोबार कंपनी की आय का करीब 1 प्रतिशत है, उसने कहा। कंपनी अपनी कुंजी बनाने की प्रक्रियाओं की समीक्षा कर रही है और उद्यम ग्राहकों को एक अतिरिक्त प्राधिकरण से प्रमाणपत्र दे रही है। उसने यह भी कहा कि सही मूल कारण की पुष्टि अभी नहीं हुई है और अपनी जांच पूरी होने पर वह उसे पूरी तरह प्रकाशित करेगी। मंत्रालय की टीम की रिपोर्ट के बाद और विवरण आने की उम्मीद है।