बेंगलुरु मुख्यालय वाली eMudhra Ltd. द्वारा वेब सुरक्षा प्रमाणपत्र जारी करने के लिए उपयोग की जाने वाली आठ निजी कुंजियाँ लीक हो गई हैं, जिससे दुनिया भर के प्रमुख इंटरनेट ब्राउज़र और ऑपरेटिंग सिस्टम डेवलपर्स की सुरक्षा टीमें प्रभावित प्रमाणपत्रों पर भरोसा करना बंद करने के लिए अपने सिस्टम को पैच करने की कोशिश कर रही हैं।

असाधारण विकास तब होता है जब कई सरकारी वेबसाइटें अपने सुरक्षा प्रमाणपत्रों पर “हस्ताक्षर” करने के लिए eMudhra की कुंजियों की एक श्रृंखला का उपयोग करती हैं, जो किसी भी वेबसाइट के लिए आधुनिक ब्राउज़र पर प्रदर्शित करने के लिए व्यावहारिक रूप से आवश्यक है।

पिछले कुछ दिनों में प्रमुख इंटरनेट इंफ्रास्ट्रक्चर फर्मों को सचेत करने वाले एक अज्ञात शोधकर्ता के अनुसार, इन “मध्यवर्ती” सुरक्षा प्रमाणपत्र कुंजियों में एक गंभीर खामी थी। उजागर हुई खामी इस प्रकार सामने आई: 384-बिट निजी कुंजी का उपयोग करने के बजाय, इन मध्यवर्ती प्रमाणपत्रों में केवल एक संख्यात्मक कुंजी थी जो 1 और 256 के बीच थी, जिससे परिमाण के आदेशों का अनुमान लगाना आसान हो गया। सार्वजनिक कुंजी क्रिप्टोग्राफी, जैसे कि वेब सुरक्षा प्रमाणपत्र या एसएसएल प्रमाणपत्र में उपयोग की जाने वाली, सभी परिस्थितियों में किसी भी बाहरी इकाई के लिए अज्ञात रहने वाली निजी कुंजी पर निर्भर करती है। चाबियों में से एक सिर्फ संख्या 4 थी, जिसके पहले 383 शून्य थे।

डेनिस जैक्सन, जो घटना पर मोज़िला की प्रतिक्रिया में शामिल थे, ने कहा कि eMudhra की निजी कुंजियाँ “दोहन के लिए तुच्छ” थीं, उन्होंने कहा कि “प्रभावित प्रमाणपत्रों में से 6 TLS के लिए हैं और Chrome, Mozilla, Microsoft और Apple रूट प्रोग्राम द्वारा विश्वसनीय हैं”। eMudhra ने प्रभावित प्रमाणपत्रों को रद्द कर दिया।

eMudhra ने अपनी वेबसाइट पर पोस्ट किए गए एक अपडेट में कहा, “घटना के बारे में पता चलने पर, eMudhra ने अपनी घटना प्रतिक्रिया प्रक्रियाएं शुरू कीं, प्रभावित प्रमाणपत्रों को शामिल करने के लिए उपाय किए, और उपयोगकर्ताओं की सुरक्षा और व्यापक WebPKI पारिस्थितिकी तंत्र की अखंडता को बनाए रखने के लिए ब्राउज़र और रूट-स्टोर ऑपरेटरों के साथ मिलकर काम करना शुरू किया।”

ईमुधरा ने कहा, “महत्वपूर्ण बात यह है कि प्रभावित मध्यवर्ती सीए में से किसी को भी उत्पादन में तैनात नहीं किया गया था, एक को छोड़कर,” यह कौन सा था, इसकी पहचान किए बिना। “इसके अलावा, इनमें से किसी भी मध्यवर्ती सीए, जिसमें उत्पादन में तैनात एक भी शामिल है, ने कोई अंतिम-इकाई प्रमाणपत्र जारी नहीं किया है। इसकी पुष्टि हमारे आंतरिक विश्लेषण के माध्यम से की गई है और सार्वजनिक रूप से उपलब्ध प्रमाणपत्र पारदर्शिता रिकॉर्ड द्वारा इसकी पुष्टि की गई है।”

स्टॉक एक्सचेंजों में दायर एक बाद के बयान में, eMudhra ने कहा, “में एक खामी है [Key Generation Ceremony] मूल मजबूत कुंजियों के साथ कमजोर कुंजियों का दूसरा सेट तैयार करने के लिए रैप/अनरैप चरण का कारण बना। इसमें आगे कहा गया, “कमजोर कुंजियाँ वे थीं जो ब्राउज़र रूट स्टोर्स पर प्रकाशित की गई थीं। eMudhra मूल कारण स्थापित करने के लिए काम कर रहा है।

सिक्योरिटी ब्रिगेड साइबर सिक्योरिटी फर्म के संस्थापक यश काकाड़िया ने कहा कि इस लीक का प्रभाव, भले ही ब्राउज़र पर पैच किया गया हो, इंटरनेट-ऑफ-थिंग्स (IoT) उपकरणों तक फैल सकता है, जिन्हें इस तरह की प्रमाणपत्र समझौता घटनाओं को संबोधित करने के लिए अक्सर पैच नहीं किया जाता है। श्री काकाडिया ने कहा, “सफाई बहुत बड़ी हो सकती है, खासकर उन उपकरणों और सॉफ़्टवेयर के लिए जिन्हें आसानी से अपडेट नहीं किया जा सकता है।”

आधार जारीकर्ता यूआईडीएआई और आयकर फाइलिंग पोर्टल सहित कई सरकारी वेबसाइटें फर्म से ईमुद्रा प्रमाणपत्र या अन्य तकनीक का उपयोग करती हैं।

यह भी पढ़ें: मेड-इन-इंडिया ब्राउजर पर जोर, सरकारी एन्क्रिप्शन पर भरोसा करने का आदेश

द हिंदू इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (एमईआईटीवाई) तक पहुंच गया है, जिसके तहत कंप्यूटर आपातकालीन प्रतिक्रिया टीम, भारत और प्रमाणन प्राधिकरण नियंत्रक (सीसीए) – जो भारतीय प्रमाणपत्र प्राधिकरणों को विनियमित करते हैं – बैठते हैं। यदि सरकार कोई प्रतिक्रिया जारी करती है तो यह कहानी अपडेट की जाएगी।

इस बात का कोई संकेत नहीं है कि eMudhra के मूल प्रमाणपत्र – जो लीक हुए स्तर से ऊपर हैं – से समझौता किया गया है। जुलाई 2014 में राष्ट्रीय सूचना विज्ञान केंद्र के रूट प्राधिकरण द्वारा “दुष्ट” प्रमाणपत्र जारी किए जाने के बाद से वैश्विक ब्राउज़र भारतीय रूट प्रमाणपत्र अधिकारियों पर भरोसा करने में अनिच्छुक रहे हैं। eMudhra विश्व स्तर पर विश्वसनीय एकमात्र भारतीय रूट प्रमाणपत्र प्राधिकरण है।

2023 में, MeitY ने एक भारतीय-निर्मित ब्राउज़र के विकास का आग्रह करने के लिए भारतीय वेब ब्राउज़र डेवलपमेंट चैलेंज लॉन्च किया, जो CCA द्वारा रूट CA पर भरोसा करेगा, जिसे आज मुख्य वेब ब्राउज़र ब्लॉक कर देते हैं। ज़ोहो कॉर्प के उला ने ₹1 करोड़ जीतकर चुनौती जीती।