क्या होता है डिजिटल सर्टिफिकेट?
डिजिटल सर्टिफिकेट इंटरनेट पर किसी वेबसाइट, व्यक्ति या संस्था की पहचान साबित करने वाला डिजिटल प्रमाण होता है। उदाहरण के लिए, जब आप किसी बैंक की वेबसाइट खोलते हैं, तो ब्राउजर उसके सर्टिफिकेट की जांच करता है। इससे वेबसाइट की पहचान की पुष्टि करने और सुरक्षित कनेक्शन बनाने में मदद मिलती है।
वेबसाइटों को सुरक्षित रखने के लिए टीएलएस (TLS) तकनीक का इस्तेमाल किया जाता है। यह वेबसाइट और यूजर के ब्राउजर के बीच भेजी जाने वाली जानकारी को सुरक्षित रखने में मदद करती है।
डिजिटल सर्टिफिकेट जारी करने वाली संस्था को सर्टिफिकेट अथॉरिटी कहा जाता है। इस व्यवस्था में तीन तरह के सर्टिफिकेट की भूमिका होती है।
- रूट सर्टिफिकेट अथॉरिटी: यह भरोसे की व्यवस्था का मुख्य आधार होती है।
- इंटरमीडिएट सर्टिफिकेट अथॉरिटी: इसे रूट सर्टिफिकेट अथॉरिटी के आधार पर भरोसेमंद माना जाता है। यह आगे दूसरे सर्टिफिकेट जारी कर सकती है।
- वेबसाइट का सर्टिफिकेट: यह किसी खास वेबसाइट की पहचान प्रमाणित करने के लिए जारी किया जाता है।
इस व्यवस्था में अगर किसी इंटरमीडिएट सर्टिफिकेट में सुरक्षा की खामी हो, तो उससे जुड़ी वेबसाइटों की सुरक्षा पर भी सवाल उठ सकते हैं।
पब्लिक की और प्राइवेट की क्या होती है?
डिजिटल सर्टिफिकेट की सुरक्षा में पब्लिक की और प्राइवेट की का इस्तेमाल होता है। दोनों के बीच गणितीय संबंध होता है, लेकिन इनका काम अलग-अलग है।
पब्लिक की ऐसी जानकारी होती है, जिसे दूसरों के साथ साझा किया जा सकता है। इसके उलट, प्राइवेट की को गुप्त और सुरक्षित रखना जरूरी होता है। सामान्य तौर पर पब्लिक की से प्राइवेट की का पता लगाना बेहद मुश्किल होना चाहिए।
लेकिन अगर प्राइवेट की तैयार करने की प्रक्रिया में गलती हो जाए और वह कमजोर बन जाए, तो कोई हमलावर पब्लिक की की मदद से उसका पता लगा सकता है। इसके बाद वह उस प्राइवेट की से जुड़ी डिजिटल पहचान का गलत इस्तेमाल करने की कोशिश कर सकता है।
ई-मुद्रा के सर्टिफिकेट में क्या खामी मिली?
ई-मुद्रा के आठ इंटरमीडिएट सर्टिफिकेट में सुरक्षा संबंधी खामी सामने आई। इनमें छह वेबसाइटों की सुरक्षा यानी टीएलएस से जुड़े थे, जबकि दो कोड-साइनिंग से संबंधित थे।
ये सर्टिफिकेट 30 अप्रैल 2025 को ई-मुद्रा के ईसीसी रूट के तहत तैयार किए गए थे। सर्टिफिकेट बनाने की प्रक्रिया में तकनीकी गलती के कारण मजबूत प्राइवेट की के साथ कमजोर प्राइवेट की का दूसरा सेट भी बन गया। कमजोर की ब्राउजर की भरोसेमंद सर्टिफिकेट सूची में पहुंच गईं।
इस खामी से क्या खतरा हो सकता था?
अगर किसी हमलावर को कमजोर प्राइवेट की मिल जाती, तो वह ऐसी वेबसाइटों के नाम पर फर्जी टीएलएस सर्टिफिकेट जारी करने की कोशिश कर सकता था, जिन पर उसका अधिकार नहीं है। इससे कई खतरे पैदा हो सकते थे।
- फर्जी वेबसाइट: किसी असली वेबसाइट की नकल करके यूजर्स को धोखा देना।
- जानकारी में सेंध: यूजर और वेबसाइट के बीच भेजी जा रही जानकारी को पढ़ने या उसमें बदलाव करने का जोखिम।
- लॉगिन जानकारी की चोरी: पासवर्ड और दूसरी संवेदनशील जानकारी को निशाना बनाना।
- वित्तीय धोखाधड़ी: किसी भरोसेमंद वेबसाइट की नकली पहचान का इस्तेमाल करके लोगों को गुमराह करना।
- नुकसान पहुंचाने वाला सॉफ्टवेयर: कोड-साइनिंग सर्टिफिकेट का गलत इस्तेमाल करके नुकसान पहुंचाने वाले सॉफ्टवेयर को भरोसेमंद दिखाने की कोशिश करना।
कंपनियों ने क्या किया?
- फोटो : अमर उजाला
ब्राउजर कंपनियों ने क्या कदम उठाए?
17 अक्तूबर को गूगल और मोजिला ने ई-मुद्रा के छह प्रभावित टीएलएस इंटरमीडिएट सर्टिफिकेट को अपनी ब्लॉक सूची में डाल दिया। इससे क्रोम और फायरफॉक्स ने इन सर्टिफिकेट पर भरोसा करना बंद कर दिया। सामान्य सेटिंग वाले यूजर्स को सुरक्षा पाने के लिए ब्राउजर अपडेट या रीस्टार्ट करने की जरूरत नहीं थी।
इसके बाद मोजिला ने फायरफॉक्स के डेस्कटॉप और एंड्रॉयड संस्करणों के लिए सुरक्षा अपडेट जारी किए और अपनी भरोसेमंद सर्टिफिकेट सूची से ईमसाइन ईसीसी रूट सीए-जी3 को हटा दिया।
गूगल ने भी समर्थित एंड्रॉयड डिवाइसों पर सुरक्षा बदलाव लागू किए और क्रोम की भरोसेमंद सूची से इस रूट सर्टिफिकेट को हटाने की प्रक्रिया शुरू की। गूगल के मुताबिक, यह बदलाव 27 अक्तूबर 2026 तक संबंधित डिवाइसों पर पहुंचने की उम्मीद है।
ई-मुद्रा ने क्या सफाई दी?
ई-मुद्रा ने 21 अक्तूबर को कहा कि सुरक्षा संबंधी समस्या उसके आठ इंटरमीडिएट सर्टिफिकेट तक सीमित थी। कंपनी के मुताबिक, उसके रूट सर्टिफिकेट की प्राइवेट की और दूसरे इंटरमीडिएट सर्टिफिकेट प्रभावित नहीं हुए।
कंपनी ने बताया कि सर्टिफिकेट तैयार करने की प्रक्रिया में हुई गलती के कारण कमजोर प्राइवेट की बन गई थीं। कंपनी इस गलती की मूल वजह की जांच कर रही है।
ई-मुद्रा के मुताबिक, उसके बुनियादी ढांचे से छेड़छाड़ नहीं हुई और डेटा में सेंध लगने का मामला सामने नहीं आया। प्रभावित आठ सर्टिफिकेट में से केवल एक को वास्तविक सेवाओं में इस्तेमाल के लिए तैनात किया गया था। कंपनी ने यह भी कहा कि इनमें से किसी ने वेबसाइटों या अंतिम यूजर्स के लिए सर्टिफिकेट जारी नहीं किए थे।
कंपनी ने 18 अक्तूबर को सभी आठ प्रभावित इंटरमीडिएट सर्टिफिकेट रद्द कर दिए। उसने कहा कि वह प्रभावित ग्राहकों को नए सर्टिफिकेट देने और ब्राउजर कंपनियों की सुरक्षा टीमों के साथ मिलकर समस्या का समाधान करने पर काम कर रही है।
कंपनी के मुताबिक, प्रभावित टीएलएस कारोबार उसके कुल राजस्व का करीब एक फीसदी है। हालांकि, उसने इस घटना से प्रतिष्ठा पर पड़ने वाले संभावित असर का आकलन करना मुश्किल बताया।
ई-मुद्रा के सह-संस्थापक कौशिक श्रीनिवासन ने कहा कि कंपनी अपनी सुरक्षा व्यवस्था को और मजबूत करेगी। इसके लिए जांच और निगरानी के नियम सख्त किए जाएंगे। साथ ही, सुरक्षा जांच में इंसानों की मदद के लिए एआई और ऑटोमेटेड टूल्स का इस्तेमाल भी किया जा सकता है।
उन्होंने बताया कि अमेरिका का एक ग्राहक कंपनी के ईसीसी सिस्टम से जारी करीब 30 हजार डिजिटल सर्टिफिकेट इस्तेमाल कर रहा है। वहीं, ब्राउजर अभी भी कंपनी के जी1 यानी आरएसए सिस्टम से जारी सर्टिफिकेट पर भरोसा कर रहे हैं। कंपनी के ज्यादातर सर्टिफिकेट इसी सिस्टम से जारी होते हैं। भारत में कुछ ग्राहक सीधे तौर पर प्रभावित नहीं हुए हैं, लेकिन इस मामले के कारण उनके मन में कंपनी की सुरक्षा को लेकर संदेह पैदा हो सकता है। इसलिए कंपनी इन ग्राहकों को दूसरे सेवा प्रदाताओं की ओर ले जाने की कोशिश कर रही है।
कौशिक श्रीनिवासन ने कहा कि लंबे समय से कंपनी के साथ जुड़े ग्राहकों ने उसका समर्थन किया है। कंपनी दोबारा लोगों का भरोसा जीतने की कोशिश कर रही है। उन्होंने बताया कि नीति आयोग ने इस मामले पर कंपनी से कई सवाल पूछे थे, जिनके जवाब दिए जा रहे हैं। नीति आयोग ने भी कहा है कि इस मामले का भारत में डिजिटल सिग्नेचर सर्टिफिकेट (DSC) और ई-साइन कारोबार पर असर नहीं पड़ा है।
मंत्रालय ने क्या बताया?
इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय ने कहा कि इस घटना का भारतीय वेबसाइटों और ऐप पर असर सीमित और कम समय के लिए रहा। मंत्रालय ने मामले पर काम करने और संबंधित पक्षों के साथ समन्वय के लिए एक विशेष टीम बनाई है। मंत्रालय के मुताबिक, भारत में इस्तेमाल होने वाले ई-मुद्रा के डिजिटल सिग्नेचर सर्टिफिकेट और ई-साइन सेवाएं इस घटना से प्रभावित नहीं हुई हैं।