eMudhra के CA कुंजी में 17 महीने तक सुरक्षा खामी

eMudhra, एक भारतीय प्रमाण पत्र प्राधिकरण, में एक महत्वपूर्ण सुरक्षा खामी का खुलासा हुआ है, जिसमें पता चला है कि इसके आठ मध्यवर्ती प्रमाण पत्र बेहद कमजोर निजी कुंजियों के साथ सुरक्षित थे। ये कुंजियाँ सार्वजनिक प्रमाण पत्रों से एक सेकंड से भी कम समय में पुनर्प्राप्त की जा सकती थीं, जिससे संभावित दुरुपयोग के गंभीर खतरे पैदा हो गए। सुरक्षा शोधकर्ता वेन ने 17 अक्टूबर को इस खामी की पहचान की और प्रभावित कुंजियों के साथ एक संदेश पर हस्ताक्षर करके प्रमुख तकनीकी कंपनियों, जैसे कि एप्पल, गूगल और माइक्रोसॉफ्ट को सूचित किया।

यह घटना 30 अप्रैल, 2025 को eMudhra द्वारा उत्पन्न 24 मध्यवर्ती प्रमाण पत्रों के एक बैच से संबंधित है। इनमें से छह वेबसाइटों के लिए TLS प्रमाण पत्र जारी करने के लिए और दो कोड साइनिंग के लिए निर्धारित किए गए थे। सभी आठ प्रमाण पत्रों को मई 2025 में सेक्टिगो द्वारा क्रॉस-साइन किया गया था। प्रभावित कुंजियाँ चौंकाने वाली रूप से छोटी थीं, जिनमें से कुछ केवल '4' जैसे सरल नंबर थीं, जिससे उन्हें आसानी से अनुमानित किया जा सकता था। सुरक्षा शोधकर्ता स्कॉट हेल्म ने पुष्टि की कि उन्होंने कुछ ही सेकंड में इन कुंजियों को पुनर्प्राप्त किया, जो इस चूक की गंभीरता को दर्शाता है।

खामी के सार्वजनिक खुलासे के बाद, ब्राउज़र ने तेजी से कार्रवाई की। क्रोम और फ़ायरफ़ॉक्स ने उसी दिन प्रभावित प्रमाण पत्रों को अवरुद्ध कर दिया, जिस दिन समस्या की रिपोर्ट की गई थी, जबकि एप्पल और माइक्रोसॉफ्ट ने थोड़े समय बाद ऐसा किया। eMudhra ने 18 अक्टूबर को प्रमाण पत्रों को रद्द करने की कार्रवाई की, जो कि प्रारंभिक रिपोर्ट के एक दिन बाद थी। हालाँकि, यह घटना उन उपकरणों और अनुप्रयोगों के लिए चिंताएँ बढ़ा रही है जो समय पर रद्दीकरण अपडेट प्राप्त नहीं कर सकते हैं, जिससे उन्हें हमलों के लिए कमजोर छोड़ दिया जा सकता है।

इस सुरक्षा उल्लंघन के परिणाम केवल ब्राउज़र के विश्वास तक सीमित नहीं हैं। जबकि प्रमुख ब्राउज़र उपयोगकर्ताओं की सुरक्षा के लिए कदम उठा चुके हैं, पुराने प्रमाण पत्र सूचियों पर निर्भर करने वाले अनुप्रयोग और सर्वर अभी भी कमजोर प्रमाण पत्रों पर भरोसा कर सकते हैं, जिससे उपयोगकर्ता डेटा को खतरा हो सकता है। इस घटना ने eMudhra को अपने प्रमाण पत्र जारी करने की प्रक्रियाओं का पुनर्मूल्यांकन करने और भविष्य में इसी तरह की घटनाओं को रोकने के लिए कड़ी जांच लागू करने के लिए प्रेरित किया है।

आगे देखते हुए, eMudhra ने कमजोर कुंजियों के निर्माण के कारण मानव त्रुटियों को स्वीकार किया है और सभी पिछले कुंजी समारोहों की समीक्षा करने का वचन दिया है। कंपनी का अनुमान है कि इस घटना के परिणामस्वरूप लगभग 30,000 ग्राहक प्रमाण पत्रों को बदलने की आवश्यकता होगी। जैसे-जैसे तकनीकी समुदाय स्थिति का मूल्यांकन करता है, उपयोगकर्ताओं को संभावित जोखिमों को कम करने के लिए अपने ब्राउज़रों और ऑपरेटिंग सिस्टम को अपडेट करने की सलाह दी जाती है।