eMudhra प्रमाणपत्र त्रुटिको छानबिन गर्न भारतको आदेश, ब्राउजरहरूले कमजोर किहरू रोके

भारतको इलेक्ट्रोनिक्स तथा सूचना प्रविधि मन्त्रालयले बेङ्गलुरुमा रहेको प्रमाणपत्र प्रदायक eMudhra मा भएको सुरक्षा घटनाको छानबिन गर्न विशेष टोली बनाएको छ। कम्पनीका आठ मध्यवर्ती प्रमाणपत्र किहरू खतरनाक रूपमा कमजोर भेटिएपछि मन्त्रालयले बुधबार, अक्टोबर २१ मा X मा पोस्टहरूको शृङ्खलामार्फत छानबिनको घोषणा गर्‍यो र घटनालाई गम्भीर रूपमा लिएको भन्यो।

कमजोर किहरू वेबसाइटले दाबी गरेको पहिचान प्रमाणित गर्ने प्रणालीभित्र छन्। प्रमाणपत्र प्राधिकरणले पहिचान जाँच्छ र डिजिटल प्रमाणपत्र जारी गर्छ। ब्राउजरहरूले सुरक्षित HTTPS जडानका लागि ती प्रमाणपत्रमा विश्वास गर्छन्। आक्रमणकारीले कमजोर निजी कि पाएमा उसले नक्कली प्रमाणपत्र बनाएर वैध वेबसाइटको नक्कल गर्न सक्छ, सुरक्षा अनुसन्धानकर्ताहरूले चेतावनी दिए।

त्रुटि कसरी भयो

eMudhra ले आफ्नो कि बनाउने प्रक्रियाको एउटा चरणले बलिया किहरूसँगै दोस्रो, कमजोर किहरूको सेट बनाएको भन्यो। किहरू अप्रिल ३०, २०२५ मा बनाइएका थिए र कमजोर सेट ब्राउजर रुट स्टोरहरूमा प्रकाशित भयो, जहाँ त्यो करिब १८ महिना नभेटिई रह्यो। कम्पनीले आफ्नो रुट निजी कि सम्झौता नभएको, पूर्वाधारमा प्रवेश नभएको र ग्राहकको डेटा नलिइएको भन्यो।

यो त्रुटि अक्टोबर १७ मा बाहिर आयो, जब एक अनुसन्धानकर्ताले Apple, Google, Microsoft र Mozilla लाई आठ प्रमाणपत्रसँग जोडिएका निजी किहरू सम्भवतः AI को मद्दतले उल्ट्याउन सकिने चेतावनी दिए। भारतको कम्प्युटर आकस्मिक प्रतिक्रिया टोली CERT-In ले प्रभावित आठ प्रमाणपत्रमा छ TLS प्रमाणपत्र र दुई कोड साइनिङ प्रमाणपत्र रहेको भन्यो। TLS प्रमाणपत्रले वेबसाइट, ब्राउजर र एपबीचको जडान सुरक्षित गर्छ। कोड साइनिङ प्रमाणपत्रले सफ्टवेयरको ग्यारेन्टी दिन्छ।

ब्राउजरहरूको कदम र मन्त्रालयको सीमा

Google ले प्रभावित किहरू रोक्यो र Chrome ले अक्टोबर २७ देखि सम्बन्धित रुट, emSign ECC Root CA - G3, लाई आफ्नो विश्वास सूचीबाट हटाउने भन्यो। Mozilla ले सूचना पाएको तीन घण्टाभित्र Firefox मा प्रमाणपत्रहरू रोक्यो। ब्राउजर सञ्चालकहरूले सावधानीका रूपमा रुटमाथिको विश्वास फिर्ता लिए र CERT-In ले क्षति सीमित गर्ने कदमसहितको सल्लाह जारी गर्‍यो। रुट हटाउँदा केही वैध प्रमाणपत्र अविश्वसनीय हुन सक्ने र त्यसले प्रभावित वेबसाइट र सेवामा असर पर्न सक्ने सल्लाहमा चेतावनी छ।

मन्त्रालयले यो घटनाले केलाई छुँदैन भन्नेमा स्पष्ट पार्‍यो। यो मुद्दा eMudhra को अन्तर्राष्ट्रिय वेबसाइट सुरक्षा व्यवसायसँग मात्र सम्बन्धित रहेको, जुन विश्वव्यापी विश्वास ढाँचा र छुट्टै लेखापरीक्षणअन्तर्गत चल्छ, मन्त्रालयले भन्यो। भारतमा नियमन हुने डिजिटल हस्ताक्षर प्रमाणपत्र र eSign सेवा छुट्टै प्रणालीमा चल्छन् र पूर्ण रूपमा अप्रभावित छन्, मन्त्रालयले भन्यो। भारतका वेबसाइट र एपमा परेको असर निकै सीमित र छोटो रहेको भन्दै मन्त्रालयले सामाजिक सञ्जालमा डर फैलाउने कामविरुद्ध चेतावनी दियो।

eMudhra ले प्रभावित आठ मध्यवर्ती प्राधिकरणमध्ये कुनैले पनि अन्तिम प्रयोगकर्ताका प्रमाणपत्र जारी नगरेको भन्यो। कम्पनीले अमेरिकामा प्रभावित एउटा ग्राहक प्रणालीको नाम दियो, जहाँ प्रमाणपत्रहरू फेरिँदै छन्। मुद्दाको केन्द्रमा रहेको विश्वव्यापी TLS व्यवसाय कम्पनीको आम्दानीको करिब १ प्रतिशत रहेको उसले भन्यो। कम्पनीले आफ्नो कि बनाउने प्रक्रिया समीक्षा गरिरहेको छ र उद्यम ग्राहकलाई थप एउटा प्राधिकरणबाट प्रमाणपत्र दिइरहेको छ। सही मूल कारण अझै पुष्टि नभएको र आफ्नो छानबिन सकिएपछि त्यो पूर्ण रूपमा प्रकाशित गर्ने उसले भन्यो। मन्त्रालयको टोलीले प्रतिवेदन दिएपछि थप विवरण आउने अपेक्षा छ।