नई दिल्ली। भारत की डिजिटल सर्टिफिकेट अथॉरिटी ई-मुद्रा (eMudhra) के आठ इंटरमीडिएट सर्टिफिकेट की निजी क्रिप्टोग्राफिक कुंजियों के साथ गंभीर सुरक्षा समझौते का मामला सामने आया है। इसके बाद गूगल क्रोम, मोजिला फायरफॉक्स, एप्पल और माइक्रोसॉफ्ट ने प्रभावित सर्टिफिकेट को अपने भरोसेमंद सिस्टम से ब्लॉक करने की कार्रवाई की है। ई-मुद्रा ने भी आठों सर्टिफिकेट निरस्त कर दिए हैं। इन कुंजियों का दुरुपयोग करके हमलावर किसी भी वेबसाइट के लिए फर्जी HTTPS सर्टिफिकेट तैयार कर सकते थे। इससे बैंक, ईमेल सेवाओं और सरकारी पोर्टल की पहचान की नकल कर उपयोगकर्ताओं के इंटरनेट ट्रैफिक को निशाना बनाने का खतरा पैदा हो सकता था। हालांकि, अब तक प्रभावित कुंजियों के आधार पर बनाए गए किसी फर्जी सार्वजनिक TLS सर्टिफिकेट का प्रमाण सामने नहीं आया है।
सुरक्षा शोधकर्ता की ओर से 17 अक्टूबर 2026 को इस मामले की सूचना मोजिला को दी गई थी। इसके बाद ब्राउजर और सर्टिफिकेट ट्रस्ट सिस्टम से जुड़ी कंपनियों ने जांच शुरू की। 20 अक्टूबर तक प्रमुख तकनीकी कंपनियों ने प्रभावित सर्टिफिकेट को ब्लॉक करने के कदम उठा लिए थे। ई-मुद्रा ने भी अपनी जांच शुरू करने और संबंधित प्रमाणन व्यवस्था को सुरक्षित करने की पुष्टि की है। हालांकि, निजी कुंजियां कैसे उजागर हुईं, इसकी सटीक वजह अभी स्पष्ट नहीं है।
क्या होती है सर्टिफिकेट अथॉरिटी और क्यों अहम हैं ये कुंजियां
जब कोई उपयोगकर्ता सुरक्षित वेबसाइट खोलता है, तो ब्राउजर उसके डिजिटल सर्टिफिकेट की जांच करता है। यह सर्टिफिकेट वेबसाइट की पहचान की पुष्टि करने और उसके साथ सुरक्षित कनेक्शन स्थापित करने में मदद करता है। इसे जारी करने वाली संस्था को सर्टिफिकेट अथॉरिटी (CA) कहा जाता है। इस व्यवस्था में रूट सर्टिफिकेट अथॉरिटी सबसे ऊपर होती है, जबकि इंटरमीडिएट अथॉरिटी उसके भरोसे पर वेबसाइटों के लिए सर्टिफिकेट जारी कर सकती है।
प्रत्येक इंटरमीडिएट अथॉरिटी के पास एक निजी क्रिप्टोग्राफिक कुंजी होती है। इसी से डिजिटल सर्टिफिकेट पर हस्ताक्षर किए जाते हैं। यदि किसी अनधिकृत व्यक्ति के हाथ यह कुंजी लग जाए, तो वह संबंधित अथॉरिटी की पहचान का इस्तेमाल करके फर्जी सर्टिफिकेट बना सकता है। सामान्य परिस्थितियों में ब्राउजर ऐसे सर्टिफिकेट को भरोसेमंद मान सकता है, जब तक उन्हें निरस्त या ब्लॉक नहीं किया जाता।
छह सर्टिफिकेट वेबसाइटों के लिए, दो सॉफ्टवेयर की पहचान से जुड़े
प्रभावित आठ सर्टिफिकेट में छह TLS यानी HTTPS कनेक्शन से संबंधित हैं, जबकि दो कोड साइनिंग के लिए बनाए गए थे। TLS सर्टिफिकेट वेबसाइटों के साथ सुरक्षित कनेक्शन स्थापित करने में इस्तेमाल होते हैं। कोड साइनिंग सर्टिफिकेट सॉफ्टवेयर के प्रकाशक की पहचान सत्यापित करने में मदद करते हैं।
ये सर्टिफिकेट ई-मुद्रा की नीदरलैंड और अमेरिका स्थित इकाइयों के नाम पर जारी किए गए थे। सभी आठ सर्टिफिकेट 30 अप्रैल 2025 से वैध थे। सुरक्षा शोधकर्ता ने प्रत्येक निजी कुंजी से एक संदेश पर हस्ताक्षर करके यह प्रदर्शित किया कि कुंजियों का इस्तेमाल संभव था। हालांकि, कुंजियों को सार्वजनिक नहीं किया गया।
कुछ सुरक्षा रिपोर्टों में दावा किया गया है कि ये कुंजियां बेहद कमजोर थीं और उनका अनुमान लगाना आसान था। कुछ अन्य रिपोर्टों में कुंजियों की चोरी की आशंका जताई गई है। लेकिन ई-मुद्रा ने अभी तक यह स्पष्ट नहीं किया है कि मामला कुंजियों की कमजोर बनावट, उन्हें तैयार करने की प्रक्रिया में हुई गलती या किसी अन्य तरीके से जुड़ा था। इसलिए घटना के मूल कारण की पुष्टि होना बाकी है।
ब्राउजर और सॉफ्टवेयर कंपनियों ने उठाए कदम
मोजिला ने फायरफॉक्स में प्रभावित सर्टिफिकेट को ब्लॉक करने के लिए अपनी निरस्तीकरण सूची अपडेट की। गूगल क्रोम ने भी अपने सुरक्षा तंत्र के जरिए इन्हें ब्लॉक किया। एप्पल ने 19 अक्टूबर और माइक्रोसॉफ्ट ने 20 अक्टूबर को अपने भरोसेमंद सर्टिफिकेट सिस्टम में आवश्यक बदलाव किए।
गो प्रोग्रामिंग भाषा के रखरखावकर्ताओं ने भी प्रभावित आठ कुंजियों को सीधे ब्लॉक करने का फैसला किया। गो के संस्करण 1.27.3 और 1.26.10 में इससे संबंधित सुरक्षा बदलाव शामिल किए गए हैं। इन संस्करणों पर जाने के बाद संबंधित प्रोग्राम को दोबारा बनाना भी जरूरी है। पायथन के Certifi और रस्ट के webpki-roots जैसे सॉफ्टवेयर घटकों के लिए भी सुधार जारी किए गए हैं, जबकि कुछ अन्य पैकेजों के अपडेट की प्रक्रिया जारी थी।
ई-मुद्रा का दावा, अन्य सर्टिफिकेट प्रभावित नहीं
ई-मुद्रा के अनुसार, यह घटना अप्रैल 2025 में आयोजित एक कुंजी निर्माण प्रक्रिया से जुड़े आठ इंटरमीडिएट सर्टिफिकेट तक सीमित है। कंपनी ने कहा है कि उसकी रूट अथॉरिटी की निजी कुंजियां प्रभावित नहीं हुई हैं और अन्य इंटरमीडिएट सर्टिफिकेट भी सुरक्षित हैं। कंपनी के मुताबिक, प्रभावित सर्टिफिकेट से किसी अंतिम उपयोगकर्ता या वेबसाइट के लिए सार्वजनिक सर्टिफिकेट जारी नहीं किया गया था। इसमें उत्पादन व्यवस्था में इस्तेमाल होने वाला सर्टिफिकेट भी शामिल है।
इसका अर्थ है कि उपलब्ध जानकारी के आधार पर मौजूदा ग्राहकों के वेबसाइट सर्टिफिकेट सीधे प्रभावित होने की पुष्टि नहीं हुई है। फिर भी, कंपनियों और सिस्टम प्रशासकों को अपनी सुरक्षा व्यवस्था की समीक्षा करने की सलाह दी गई है।
उपयोगकर्ताओं और कंपनियों को क्या करना चाहिए
सामान्य उपयोगकर्ताओं को अपने ब्राउजर, मोबाइल और कंप्यूटर के ऑपरेटिंग सिस्टम तथा इंटरनेट से जुड़े ऐप को नवीनतम संस्करण पर अपडेट रखना चाहिए। सार्वजनिक वाई-फाई का इस्तेमाल करते समय अतिरिक्त सतर्कता बरतनी चाहिए, खासकर तब जब डिवाइस या संबंधित सॉफ्टवेयर का अपडेट लंबित हो।
सर्वर और सॉफ्टवेयर संचालित करने वाले संगठनों को यह जांचना चाहिए कि उनके सिस्टम ई-मुद्रा के प्रभावित सर्टिफिकेट पर निर्भर तो नहीं हैं। ऐसे सिस्टम भी विशेष ध्यान मांगते हैं जो अपनी अलग ट्रस्ट सूची रखते हैं या सर्टिफिकेट निरस्तीकरण की जानकारी नियमित रूप से प्राप्त नहीं करते। लिनक्स आधारित कुछ अनुप्रयोगों में निरस्तीकरण संबंधी बदलाव अपने आप लागू नहीं होते, इसलिए संबंधित पैकेज और सॉफ्टवेयर अपडेट करना महत्वपूर्ण है।
ई-मुद्रा मामले ने एक बार फिर स्पष्ट किया है कि इंटरनेट सुरक्षा केवल मजबूत एन्क्रिप्शन पर निर्भर नहीं करती, बल्कि डिजिटल प्रमाणपत्र जारी करने वाली संस्थाओं की विश्वसनीयता और निजी कुंजियों की सुरक्षा भी उतनी ही महत्वपूर्ण है। जांच पूरी होने और घटना के मूल कारण का खुलासा होने के बाद ही यह स्पष्ट हो सकेगा कि संवेदनशील कुंजियां किस तरह उजागर हुईं और भविष्य में ऐसी घटनाओं को रोकने के लिए किन अतिरिक्त उपायों की जरूरत होगी।
