eMudhra Security Flaw: भारतीय डिजिटल ट्रस्ट और साइबर सिक्योरिटी कंपनी eMudhra के आठ डिजिटल सर्टिफिकेट की निजी चाबियों में गंभीर सुरक्षा खामी सामने आई है। शोधकर्ताओं के मुताबिक, इन चाबियों का अनुमान लगाना इतना आसान था कि उन्हें एक सेकंड से भी कम समय में रिकवर किया जा सकता था। इसके बाद Google, Apple, Microsoft और Mozilla ने प्रभावित सर्टिफिकेट को ब्लॉक करने के कदम उठाए। हालांकि, अब तक इन कमजोर चाबियों का इस्तेमाल कर किसी साइबर हमले को अंजाम दिए जाने का प्रमाण सामने नहीं आया है। 

इस मामले ने इंटरनेट पर वेबसाइटों की पहचान और सुरक्षित कनेक्शन सुनिश्चित करने वाले डिजिटल सर्टिफिकेट की सुरक्षा पर सवाल खड़े कर दिए हैं। ऐसे में यह समझना जरूरी है कि eMudhra क्या करती है, डिजिटल सर्टिफिकेट में क्या खामी मिली और इसका आम इंटरनेट यूजर्स पर क्या असर पड़ सकता है।

क्या है eMudhra और यह कंपनी क्या करती है?

eMudhra भारत की डिजिटल ट्रस्ट और साइबर सिक्योरिटी कंपनियों में से एक है। यह डिजिटल सर्टिफिकेट जारी करने के साथ डिजिटल पहचान और ऑथेंटिकेशन से जुड़ी सेवाएं भी देती है। कंपनी सर्टिफिकेट अथॉरिटी (CA) के रूप में काम करती है।

आसान भाषा में समझें तो डिजिटल सर्टिफिकेट किसी वेबसाइट के पहचान पत्र की तरह होता है। जब कोई यूजर बैंक, शॉपिंग वेबसाइट या किसी दूसरी ऑनलाइन सेवा को खोलता है, तो ब्राउजर सर्टिफिकेट की मदद से यह जांचता है कि वह सही सर्वर से जुड़ रहा है या नहीं। यह प्रक्रिया वेबसाइट की पहचान सत्यापित करने और सुरक्षित, एन्क्रिप्टेड कनेक्शन स्थापित करने में मदद करती है।

सर्टिफिकेट अथॉरिटी केवल वेबसाइटों के सर्टिफिकेट ही नहीं, बल्कि इंटरमीडिएट सर्टिफिकेट भी जारी कर सकती है। इनके जरिए आगे वेबसाइटों के लिए सर्टिफिकेट जारी किए जाते हैं। इस पूरी व्यवस्था में किसी इंटरमीडिएट अथॉरिटी की निजी चाबी कमजोर होने पर उससे जुड़े भरोसे के ढांचे पर असर पड़ सकता है।

eMudhra के आठ डिजिटल सर्टिफिकेट में क्या खामी मिली?

रिपोर्ट के मुताबिक, eMudhra के आठ इंटरमीडिएट सर्टिफिकेट 30 अप्रैल 2025 को बनाए गए थे। इनकी निजी चाबियों में पर्याप्त रैंडमनेस नहीं थी। यानी चाबियां बनाने की प्रक्रिया में ऐसे संख्यात्मक मान तैयार हुए, जिनका अनुमान लगाना बेहद आसान था।

इन सर्टिफिकेट के लिए P-384 एलिप्टिक कर्व क्रिप्टोग्राफी का इस्तेमाल किया जाना था। इस तकनीक में निजी चाबी के लिए अत्यधिक मजबूत और अप्रत्याशित मान अपेक्षित होते हैं। लेकिन शोधकर्ताओं ने पाया कि प्रभावित चाबियों के मान केवल एक बाइट के बराबर थे।

रिपोर्ट में इन आठ चाबियों के मान 4, 56, 66, 115, 155, 156, 230 और 237 बताए गए हैं। एक बाइट में केवल 256 संभावित मान हो सकते हैं। इसी वजह से शोधकर्ता इन चाबियों को एक सेकंड से भी कम समय में रिकवर करने में सफल रहे। 

कमजोर चाबियों से क्या हो सकता था नुकसान?

डिजिटल सर्टिफिकेट की निजी चाबी का इस्तेमाल उसके आधार पर भरोसेमंद सर्टिफिकेट जारी करने की व्यवस्था में होता है। यदि किसी हमलावर के हाथ ऐसी कमजोर चाबी लग जाए, तो वह प्रभावित अथॉरिटी के नाम पर फर्जी सर्टिफिकेट तैयार करने की कोशिश कर सकता है।

ऐसी स्थिति में हमलावर किसी असली वेबसाइट की नकल करके यूजर्स को नकली सर्वर से जोड़ सकता है। उदाहरण के लिए, कोई व्यक्ति बैंक या ऑनलाइन शॉपिंग वेबसाइट जैसी दिखने वाली साइट पर पहुंच सकता है, जबकि वास्तव में उसका कनेक्शन किसी फर्जी सर्वर से हो।

इस तरह की खामी का दुरुपयोग होने पर वेबसाइट और यूजर के बीच भेजे जा रहे डेटा को बीच में रोकने या उसमें बदलाव करने का जोखिम भी पैदा हो सकता है। इससे संवेदनशील जानकारी खतरे में पड़ सकती है।

हालांकि, इसका मतलब यह नहीं है कि eMudhra के सभी सर्टिफिकेट या कंपनी की सभी सेवाएं प्रभावित हुई हैं। सामने आई समस्या आठ विशेष इंटरमीडिएट सर्टिफिकेट तक सीमित बताई गई है। 

Google, Apple, Microsoft और Mozilla ने क्या कदम उठाए?

इस सुरक्षा खामी की जानकारी सामने आने के बाद बड़ी टेक कंपनियों ने प्रभावित सर्टिफिकेट पर भरोसा रोकने के लिए कदम उठाए।

Google: Chrome और Android यूजर्स की सुरक्षा के लिए प्रभावित इंटरमीडिएट सर्टिफिकेट को ब्लॉक करने के कदम उठाए। Google ने Chrome के ट्रस्ट स्टोर से संबंधित रूट सर्टिफिकेट को हटाने की प्रक्रिया भी घोषित की है।

Apple: प्रभावित सर्टिफिकेट को ब्लॉक करने की दिशा में कार्रवाई की।

Microsoft: प्रभावित सर्टिफिकेट पर भरोसा रोकने के लिए कदम उठाए।

Mozilla: Firefox में प्रभावित सर्टिफिकेट को ब्लॉक करने के लिए कदम उठाए।

Cloudflare: अपने नेटवर्क और कुछ सेवाओं के लिए सुरक्षा उपाय लागू किए।

Google के मुताबिक, Chrome और Android के लिए सुरक्षा उपाय लागू किए गए हैं। हालांकि, अलग-अलग डिवाइस, नेटवर्क उपकरण और अपने सर्टिफिकेट ट्रस्ट स्टोर का इस्तेमाल करने वाले कुछ सिस्टम को अलग से अपडेट की जरूरत पड़ सकती है। 

eMudhra ने सुरक्षा खामी पर क्या कहा?

eMudhra ने इस मामले की पुष्टि करते हुए कहा कि वह अप्रैल 2025 में की गई एक की-जनरेशन प्रक्रिया के दौरान बनाए गए आठ इंटरमीडिएट सर्टिफिकेट से जुड़े सुरक्षा मामले की जांच कर रही है।

कंपनी के मुताबिक, समस्या उसके ग्लोबल TLS सर्टिफिकेट कारोबार के एक सीमित हिस्से से संबंधित है। उसने कहा कि यह खामी उसके रूट सर्टिफिकेट अथॉरिटी की निजी चाबियों या अन्य इंटरमीडिएट सर्टिफिकेट को प्रभावित नहीं करती।

eMudhra ने यह भी बताया कि प्रभावित आठ सर्टिफिकेट में से केवल एक को प्रोडक्शन में इस्तेमाल किया गया था और इनमें से किसी के जरिए अलग-अलग वेबसाइटों के लिए सर्टिफिकेट जारी नहीं किए गए थे।

कंपनी ने कहा कि वह प्रभावित सर्टिफिकेट को लेकर जरूरी कदम उठा रही है और ब्राउजर डेवलपर्स तथा अन्य संबंधित पक्षों के साथ मिलकर काम कर रही है। मामले की जांच जारी है और आगे की जानकारी मिलने पर अपडेट साझा किए जाएंगे। 

क्या eMudhra की डिजिटल सिग्नेचर सेवाएं भी प्रभावित हुई हैं?

कंपनी ने स्पष्ट किया है कि यह घटना उसके कुछ ग्लोबल TLS सर्टिफिकेट से संबंधित है। उसके अनुसार, भारत में दी जाने वाली डिजिटल सिग्नेचर और eSign सेवाएं प्रभावित नहीं हुई हैं। कंपनी की इन सेवाओं के लिए अलग इंफ्रास्ट्रक्चर इस्तेमाल किया जाता है।

इसलिए, आठ प्रभावित सर्टिफिकेट में सामने आई खामी को कंपनी की सभी डिजिटल सेवाओं में सुरक्षा उल्लंघन के रूप में देखना सही नहीं होगा। हालांकि, मामले की जांच जारी है और कंपनी की ओर से जारी जानकारी के आधार पर ही इसके दायरे को समझना चाहिए। 

आम इंटरनेट यूजर्स को क्या करना चाहिए?

फिलहाल आम यूजर्स के लिए सबसे जरूरी कदम अपने ब्राउजर, ऑपरेटिंग सिस्टम और ऐप्स को अपडेट रखना है। प्रमुख ब्राउजर कंपनियों ने प्रभावित सर्टिफिकेट को ब्लॉक करने के लिए सुरक्षा उपाय किए हैं।

यूजर्स को खुद से ब्राउजर की सर्टिफिकेट सेटिंग में बदलाव करने की जरूरत नहीं है। वहीं, वेबसाइट संचालकों और ऐसे संगठनों को अपने सिस्टम की जांच करनी पड़ सकती है, जो प्रभावित सर्टिफिकेट या अपने कस्टम ट्रस्ट स्टोर पर निर्भर हैं।

Google ने यह भी बताया है कि संबंधित रूट सर्टिफिकेट को Chrome के ट्रस्ट स्टोर से हटाने की प्रक्रिया 27 अक्टूबर 2026 से लागू होने की उम्मीद है। इससे उस सर्टिफिकेट पर निर्भर कुछ वैध वेबसाइटों के कनेक्शन प्रभावित हो सकते हैं। ऐसे वेबसाइट संचालकों को दूसरे भरोसेमंद सर्टिफिकेट ढांचे में माइग्रेट करना पड़ सकता है।

फिलहाल सबसे अहम बात यह है कि सुरक्षा खामी गंभीर थी, लेकिन उपलब्ध जानकारी के मुताबिक कमजोर चाबियों के जरिए किसी हमले का प्रमाण सामने नहीं आया है। मामले की जांच और प्रभावित सिस्टम को सुरक्षित बनाने की प्रक्रिया जारी है।