नई दिल्ली: केंद्र सरकार के यूनिफाइड मोबाइल एप्लिकेशन फॉर न्यू-एज गवर्नेंस (UMANG) पोर्टल में कई गंभीर साइबर सुरक्षा कमजोरियां सामने आई हैं, जिनके कारण करोड़ों भारतीयों की संवेदनशील जानकारी जोखिम में पड़ सकती थी। सुरक्षा शोधकर्ताओं के अनुसार इन खामियों का असर कर्मचारी भविष्य निधि संगठन (EPFO), एलपीजी सिलेंडर बुकिंग सेवाओं तथा कई सरकारी सेवाओं से जुड़े आधार नंबर सहित अनेक डेटाबेस पर देखा गया। शोधकर्ताओं का दावा है कि इनमें से कुछ कमजोरियां वर्षों से मौजूद थीं और UMANG की मूल आर्किटेक्चर से जुड़ी थीं।
सुरक्षा शोधकर्ताओं अक्षय सी.एस. और वायरल वाघेला ने अपने विश्लेषण में बताया कि UMANG पोर्टल, जो केंद्र और राज्य सरकारों की 2,400 से अधिक सेवाओं को एक मंच पर उपलब्ध कराता है, की डिजाइन में ऐसी कमियां हैं जिनके कारण विभिन्न सेवाओं का डेटा अनधिकृत रूप से उजागर हो सकता था। उनके अनुसार समस्या किसी एक सेवा तक सीमित नहीं थी, बल्कि पोर्टल की संरचना से जुड़ी थी।
शोधकर्ताओं के मुताबिक उजागर होने वाले डेटा में EPFO के यूनिवर्सल अकाउंट नंबर (UAN), कम से कम एक प्रमुख तेल विपणन कंपनी की एलपीजी बुकिंग संबंधी जानकारी और विभिन्न सेवाओं में संग्रहीत आधार संख्या शामिल थीं। उनका दावा है कि कई सेवाओं में आधार नंबर साधारण टेक्स्ट (Plaintext) के रूप में संग्रहीत पाए गए, जबकि आधार अधिनियम, 2016 के तहत ऐसा करना अनुमत नहीं है। हालांकि उन्होंने स्पष्ट किया कि UMANG के भीतर आधार प्रमाणीकरण मॉड्यूल स्वयं इस कमजोरी से प्रभावित नहीं था।
UMANG पर सबसे अधिक उपयोग होने वाली सेवा EPFO मॉड्यूल है, जिसमें पिछले तीन महीनों के दौरान 40 करोड़ से अधिक लेनदेन दर्ज किए गए। यही कारण है कि इस मॉड्यूल से जुड़ी किसी भी सुरक्षा कमजोरी का प्रभाव बड़ी संख्या में उपयोगकर्ताओं पर पड़ सकता है।
इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय (MeitY) ने इन सुरक्षा कमजोरियों की पुष्टि करते हुए कहा कि विकास और सुरक्षा टीमों ने रिपोर्ट का परीक्षण किया है तथा आवश्यक सुधारात्मक और निवारक कदम लागू किए जा रहे हैं। मंत्रालय के अनुसार संबंधित API में उपलब्ध प्लेनटेक्स्ट जानकारी को अब एन्क्रिप्ट कर दिया गया है। साथ ही पिछले तीन महीनों के API ट्रांजैक्शन लॉग की समीक्षा की गई है, जिसमें किसी असामान्य गतिविधि का संकेत नहीं मिला। मंत्रालय ने कहा कि UMANG पोर्टल पर लगातार निगरानी रखी जा रही है।
हालांकि शोधकर्ताओं का कहना है कि शुरुआती स्तर पर लागू किए गए कुछ सुरक्षा उपाय पर्याप्त नहीं थे। स्वतंत्र साइबर सुरक्षा शोधकर्ता करण सैनी ने भी इन कमजोरियों को “महत्वपूर्ण” बताया। उनके अनुसार वेबसाइट पर Rate Limiting जैसी सुरक्षा व्यवस्था होने और EPFO UAN नंबरों की बड़ी संख्या के कारण पूरे डेटाबेस की कॉपी बनाना आसान नहीं था, लेकिन यदि किसी साइबर अपराधी के पास किसी उपयोगकर्ता का UAN उपलब्ध हो, तो वह बैंक खाते की जानकारी बदलने और भुगतान प्रक्रिया शुरू करने जैसी गतिविधियों का दुरुपयोग करने की कोशिश कर सकता था, जो गंभीर चिंता का विषय है।
शोधकर्ताओं ने इन कमजोरियों की जानकारी MeitY और भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल (CERT-In) को दी थी। इसके बाद EPFO ने अपने ऑनलाइन पोर्टल को “माइग्रेशन” के लिए अस्थायी रूप से बंद कर दिया था और कुछ सेवाएं कुछ समय तक उपलब्ध नहीं रहीं। हालांकि श्रम एवं रोजगार मंत्रालय ने इस संबंध में कोई आधिकारिक टिप्पणी नहीं की।
प्रख्यात साइबर अपराध विशेषज्ञ एवं पूर्व IPS अधिकारी प्रो. त्रिवेणी सिंह ने कहा कि सरकारी डिजिटल प्लेटफॉर्म नागरिकों की अत्यंत संवेदनशील जानकारी संभालते हैं, इसलिए उनकी सुरक्षा में किसी भी प्रकार की चूक गंभीर परिणाम पैदा कर सकती है। उन्होंने कहा, “सरकारी पोर्टलों की नियमित सुरक्षा ऑडिट, सुरक्षित API आर्किटेक्चर, डेटा एन्क्रिप्शन और समय पर Vulnerability Management अनिवार्य हैं। छोटी तकनीकी कमजोरी भी बड़े पैमाने पर डेटा दुरुपयोग, पहचान चोरी और वित्तीय धोखाधड़ी का कारण बन सकती है।”
विशेषज्ञों का मानना है कि जैसे-जैसे सरकारी सेवाएं तेजी से डिजिटल होती जा रही हैं, वैसे-वैसे साइबर सुरक्षा को केवल तकनीकी आवश्यकता नहीं बल्कि राष्ट्रीय डिजिटल अवसंरचना की मूलभूत जिम्मेदारी के रूप में देखना होगा। उनका कहना है कि समय-समय पर स्वतंत्र सुरक्षा परीक्षण, सुरक्षित सॉफ्टवेयर विकास प्रक्रिया और त्वरित पैच प्रबंधन जैसी व्यवस्थाएं भविष्य में ऐसे जोखिमों को काफी हद तक कम कर सकती हैं।
