eMudhra: eMudhra के 8 सर्टिफिकेट्स में सुरक्षा चूक
Vivaan Gupta
0 सेकंड पहलेDuniya mein kuch bada hone wala hai, taiyar rehna hoga.
Monika Das
0 सेकंड पहलेKanoon ko apna kaam karna chahiye bina der ke.
देश की डिजिटल सुरक्षा से जुड़ी एक बड़ी तकनीकी खामी सामने आई है। डिजिटल सर्टिफिकेट उपलब्ध कराने वाली कंपनी eMudhra के आठ इंटरमीडिएट सर्टिफिकेट्स की प्राइवेट की कमजोर पाई गई हैं। इस गड़बड़ी के कारण साइबर अपराधियों के लिए इन चाबियों का पता लगाना आसान हो सकता था। इससे नकली वेबसाइट तैयार करने, लोगों की निजी जानकारी चुराने और ऑनलाइन धोखाधड़ी का खतरा पैदा हो सकता था। मामले को गंभीरता से लेते हुए भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल (CERT-In) ने 21 अक्टूबर 2026 को सुरक्षा एडवाइजरी जारी की।
तकनीकी गलती से कमजोर हुई डिजिटल चाबियां
जानकारी के मुताबिक, eMudhra के आठ इंटरमीडिएट सर्टिफिकेट्स में इस्तेमाल की गई P-384 प्राइवेट की सामान्य सुरक्षा मानकों के मुकाबले कमजोर पाई गईं। इनकी खास बात यह थी कि संबंधित पब्लिक की की मदद से प्राइवेट की का पता लगाना लगभग तुरंत संभव हो सकता था। कंपनी के अनुसार, डिजिटल चाबियां तैयार करने की प्रक्रिया में एक तकनीकी गड़बड़ी हुई थी। Key Generation के दौरान Wrap और Unwrap स्टेप में आई समस्या के कारण कमजोर चाबियों का एक दूसरा सेट तैयार हो गया और वही प्रकाशित हो गया। हालांकि, यह समस्या P-384 तकनीक में नहीं थी, बल्कि चाबी तैयार करने की प्रक्रिया में हुई गलती के कारण सामने आई।
नकली वेबसाइट और ऑनलाइन ठगी का खतरा
इस तकनीकी खामी का सबसे बड़ा खतरा डिजिटल पहचान के गलत इस्तेमाल से जुड़ा था। अगर साइबर अपराधियों के हाथ ये कमजोर प्राइवेट की लग जातीं, तो वे उन वेबसाइटों के नाम पर नकली TLS सर्टिफिकेट जारी करने की कोशिश कर सकते थे, जिन पर उनका कोई अधिकार नहीं है। इसका इस्तेमाल असली वेबसाइट जैसी दिखने वाली नकली वेबसाइट बनाने और लोगों को धोखा देने में किया जा सकता था। ऐसी स्थिति में यूजर्स के पासवर्ड, बैंकिंग जानकारी और अन्य निजी डेटा चोरी होने का खतरा पैदा हो सकता था। इसके अलावा, प्रभावित Code Signing सर्टिफिकेट्स का गलत इस्तेमाल करके खतरनाक सॉफ्टवेयर को किसी भरोसेमंद कंपनी द्वारा जारी किया गया दिखाया जा सकता था।
आठ सर्टिफिकेट्स हुए प्रभावित
इस मामले में कुल आठ इंटरमीडिएट सर्टिफिकेट्स प्रभावित हुए थे। इनमें छह TLS यानी वेबसाइट की सुरक्षा से जुड़े सर्टिफिकेट और दो Code Signing सर्टिफिकेट शामिल थे। कंपनी ने बताया कि प्रभावित आठ सर्टिफिकेट्स में से केवल एक का इस्तेमाल प्रोडक्शन वातावरण में हो रहा था। eMudhra के अनुसार, उसकी रूट CA कीज, अन्य इंटरमीडिएट सर्टिफिकेट्स, बुनियादी ढांचा और ग्राहक डेटा सुरक्षित रहे। भारत में इस्तेमाल होने वाली DSC और eSign सेवाएं भी इस समस्या से प्रभावित नहीं हुईं। 21 अक्टूबर तक किसी दुर्भावनापूर्ण साइबर हमले या इस खामी के वास्तविक दुरुपयोग की सार्वजनिक पुष्टि नहीं हुई थी।
eMudhra, Google और Mozilla ने उठाए कदम
सुरक्षा खामी सामने आने के बाद eMudhra ने 18 अक्टूबर 2026 को सभी आठ प्रभावित इंटरमीडिएट सर्टिफिकेट्स रद्द कर दिए। इसके बाद ब्राउजर और टेक्नोलॉजी कंपनियों ने भी सुरक्षा के लिए कदम उठाए। Mozilla ने Firefox में OneCRL के जरिए प्रभावित छह TLS सर्टिफिकेट्स को ब्लॉक किया और ब्राउजर अपडेट जारी किए। वहीं, Google ने Chrome और समर्थित Android डिवाइसों में प्रभावित पब्लिक कीज को ब्लॉक करने की कार्रवाई की। इसके साथ ही emSign ECC Root CA – G3 को Chrome Root Store से हटाने की घोषणा भी की गई। इस बदलाव के कारण संबंधित रूट सर्टिफिकेट से जुड़े कुछ वैध सर्टिफिकेट भी अविश्वसनीय हो सकते हैं। ऐसे में कुछ वेबसाइटों और ऑनलाइन सेवाओं को अस्थायी परेशानी का सामना करना पड़ सकता है।
आम यूजर्स और कंपनियां कैसे रहें सुरक्षित?
साइबर सुरक्षा से जुड़े विशेषज्ञों के लिए इस मामले ने डिजिटल सर्टिफिकेट की नियमित जांच और सुरक्षित तरीके से प्राइवेट की तैयार करने की अहमियत को फिर सामने रखा है। आम इंटरनेट यूजर्स को अपने मोबाइल और कंप्यूटर में ब्राउजर तथा ऑपरेटिंग सिस्टम के नवीनतम सुरक्षा अपडेट इंस्टॉल रखने चाहिए। वहीं, कंपनियों और वेबसाइट संचालकों को अपने डिजिटल सर्टिफिकेट्स की जांच करनी चाहिए और प्रभावित सर्टिफिकेट मिलने पर उन्हें बदलना चाहिए। इसके अलावा, सर्टिफिकेट से जुड़ी सुरक्षा चेतावनियों को नजरअंदाज नहीं करना चाहिए। कंपनियों को Certificate Transparency Logs और सुरक्षा अलर्ट पर भी नजर रखनी चाहिए, ताकि किसी अनधिकृत सर्टिफिकेट की जानकारी समय रहते मिल सके।
डिजिटल सुरक्षा के लिए बड़ी चेतावनी
eMudhra का यह मामला बताता है कि डिजिटल दुनिया में केवल मजबूत तकनीक होना ही काफी नहीं है, बल्कि उसे सही तरीके से इस्तेमाल करना भी जरूरी है। एक छोटी-सी तकनीकी गलती भी वेबसाइटों और डिजिटल पहचान की सुरक्षा के लिए बड़ा खतरा बन सकती है। ऐसे में कंपनियों, ब्राउजर प्लेटफॉर्म और सुरक्षा एजेंसियों के बीच बेहतर तालमेल डिजिटल धोखाधड़ी को रोकने में महत्वपूर्ण भूमिका निभा सकता है।
