एक्सप्लेनर: डिजिटल सर्टिफिकेट जारी करने वाली कंपनी की खामी से मची खलबली, यूजर्स के लिए ये कैसे होता खतरनाक?
इंटरनेट पर वेबसाइटों को सुरक्षित रखने वाले डिजिटल सर्टिफिकेट में ही खामी सामने आने से साइबर सुरक्षा को लेकर चिंता बढ़ गई। भारतीय कंपनी ई-मुद्रा के आठ डिजिटल सर्टिफिकेट में ऐसी गड़बड़ी मिली, जिससे फर्जी वेबसाइट बनाकर यूजर्स के पासवर्ड और निजी जानकारी चुराने का खतरा पैदा हो सकता था। आइए विस्तार से जानते हैं।
विस्तार
Add as a preferredइंटरनेट पर किसी वेबसाइट को सुरक्षित बनाने में डिजिटल सर्टिफिकेट की अहम भूमिका होती है। लेकिन हाल ही में भारतीय साइबर सुरक्षा कंपनी ई-मुद्रा के कुछ डिजिटल सर्टिफिकेट में ऐसी खामी सामने आई, जिसने इंटरनेट की सुरक्षा व्यवस्था पर सवाल खड़े कर दिए। इस मामले के सामने आने के बाद कई बड़ी टेक कंपनियों ने प्रभावित सर्टिफिकेट को ब्लॉक करने के कदम उठाए।
ऐसे में आइए जानते हैं कि क्या है ई-मुद्रा? यह कंपनी क्या सेवाएं देती है? इससे जुड़ा क्या मामला सामने आया? अंतरराष्ट्रीय कंपनियों ने क्या कदम उठाए? ई-मुद्रा ने क्या सफाई दी है? सरकार ने क्या कदम उठाया है?
क्या है ई-मुद्रा और क्या सेवाएं देता है?
ई-मुद्रा की शुरुआत वर्ष 2008 में हुई थी। यह डिजिटल पहचान और सुरक्षा से जुड़ी कंपनी है। कंपनी डिजिटल सिग्नेचर सर्टिफिकेट और ई-साइन जैसी सेवाएं देती है। इनकी मदद से किसी व्यक्ति या संस्था की डिजिटल पहचान की पुष्टि की जाती है और ऑनलाइन लेनदेन को सुरक्षित बनाने में मदद मिलती है।
ई-मुद्रा 35 से ज्यादा देशों में काम करती है। इसके ग्राहक कंपनियां, वित्तीय संस्थान और सरकारें हैं। कंपनी की मई 2026 की निवेशक प्रस्तुति के मुताबिक, भारत के डिजिटल सिग्नेचर सर्टिफिकेट बाजार में मूल्य के आधार पर इसकी हिस्सेदारी करीब 38 फीसदी थी। यह आंकड़ा वर्ष 2024 के फ्रॉस्ट एंड सुलिवन के अध्ययन पर आधारित था। निवेशक प्रस्तुति में कंपनी अपने कारोबार और बाजार में हिस्सेदारी जैसी जानकारी देती है।
ई-मुद्रा मुख्य रूप से दो तरह की सेवाएं देती है। पहली, डिजिटल सिग्नेचर सर्टिफिकेट जारी करना और ई-साइन की सुविधा देना। इन सेवाओं की निगरानी भारत सरकार के इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय के तहत आने वाला कंट्रोलर ऑफ सर्टिफाइंग अथॉरिटीज (सीसीए) करता है।
दूसरी सेवा के तहत कंपनी ऐसे डिजिटल सर्टिफिकेट जारी करती है, जिन पर दुनिया के प्रमुख वेब ब्राउजर और ऑपरेटिंग सिस्टम भरोसा करते हैं। ऐसे सर्टिफिकेट की मदद से वेबसाइटों, सॉफ्टवेयर और इंटरनेट पर होने वाले डिजिटल संचार को सुरक्षित बनाया जाता है।
क्या होता है डिजिटल सर्टिफिकेट?
डिजिटल सर्टिफिकेट इंटरनेट पर किसी वेबसाइट, व्यक्ति या संस्था की पहचान साबित करने वाला डिजिटल प्रमाण होता है। उदाहरण के लिए, जब आप किसी बैंक की वेबसाइट खोलते हैं, तो ब्राउजर उसके सर्टिफिकेट की जांच करता है। इससे वेबसाइट की पहचान की पुष्टि करने और सुरक्षित कनेक्शन बनाने में मदद मिलती है।
वेबसाइटों को सुरक्षित रखने के लिए टीएलएस (TLS) तकनीक का इस्तेमाल किया जाता है। यह वेबसाइट और यूजर के ब्राउजर के बीच भेजी जाने वाली जानकारी को सुरक्षित रखने में मदद करती है।
डिजिटल सर्टिफिकेट जारी करने वाली संस्था को सर्टिफिकेट अथॉरिटी कहा जाता है। इस व्यवस्था में तीन तरह के सर्टिफिकेट की भूमिका होती है।
- रूट सर्टिफिकेट अथॉरिटी: यह भरोसे की व्यवस्था का मुख्य आधार होती है।
- इंटरमीडिएट सर्टिफिकेट अथॉरिटी: इसे रूट सर्टिफिकेट अथॉरिटी के आधार पर भरोसेमंद माना जाता है। यह आगे दूसरे सर्टिफिकेट जारी कर सकती है।
- वेबसाइट का सर्टिफिकेट: यह किसी खास वेबसाइट की पहचान प्रमाणित करने के लिए जारी किया जाता है।
इस व्यवस्था में अगर किसी इंटरमीडिएट सर्टिफिकेट में सुरक्षा की खामी हो, तो उससे जुड़ी वेबसाइटों की सुरक्षा पर भी सवाल उठ सकते हैं।
पब्लिक की और प्राइवेट की क्या होती है?
डिजिटल सर्टिफिकेट की सुरक्षा में पब्लिक की और प्राइवेट की का इस्तेमाल होता है। दोनों के बीच गणितीय संबंध होता है, लेकिन इनका काम अलग-अलग है।
पब्लिक की ऐसी जानकारी होती है, जिसे दूसरों के साथ साझा किया जा सकता है। इसके उलट, प्राइवेट की को गुप्त और सुरक्षित रखना जरूरी होता है। सामान्य तौर पर पब्लिक की से प्राइवेट की का पता लगाना बेहद मुश्किल होना चाहिए।
लेकिन अगर प्राइवेट की तैयार करने की प्रक्रिया में गलती हो जाए और वह कमजोर बन जाए, तो कोई हमलावर पब्लिक की की मदद से उसका पता लगा सकता है। इसके बाद वह उस प्राइवेट की से जुड़ी डिजिटल पहचान का गलत इस्तेमाल करने की कोशिश कर सकता है।
ई-मुद्रा के सर्टिफिकेट में क्या खामी मिली?
ई-मुद्रा के आठ इंटरमीडिएट सर्टिफिकेट में सुरक्षा संबंधी खामी सामने आई। इनमें छह वेबसाइटों की सुरक्षा यानी टीएलएस से जुड़े थे, जबकि दो कोड-साइनिंग से संबंधित थे।
ये सर्टिफिकेट 30 अप्रैल 2025 को ई-मुद्रा के ईसीसी रूट के तहत तैयार किए गए थे। सर्टिफिकेट बनाने की प्रक्रिया में तकनीकी गलती के कारण मजबूत प्राइवेट की के साथ कमजोर प्राइवेट की का दूसरा सेट भी बन गया। कमजोर की ब्राउजर की भरोसेमंद सर्टिफिकेट सूची में पहुंच गईं।
इस खामी से क्या खतरा हो सकता था?
अगर किसी हमलावर को कमजोर प्राइवेट की मिल जाती, तो वह ऐसी वेबसाइटों के नाम पर फर्जी टीएलएस सर्टिफिकेट जारी करने की कोशिश कर सकता था, जिन पर उसका अधिकार नहीं है। इससे कई खतरे पैदा हो सकते थे।
- फर्जी वेबसाइट: किसी असली वेबसाइट की नकल करके यूजर्स को धोखा देना।
- जानकारी में सेंध: यूजर और वेबसाइट के बीच भेजी जा रही जानकारी को पढ़ने या उसमें बदलाव करने का जोखिम।
- लॉगिन जानकारी की चोरी: पासवर्ड और दूसरी संवेदनशील जानकारी को निशाना बनाना।
- वित्तीय धोखाधड़ी: किसी भरोसेमंद वेबसाइट की नकली पहचान का इस्तेमाल करके लोगों को गुमराह करना।
- नुकसान पहुंचाने वाला सॉफ्टवेयर: कोड-साइनिंग सर्टिफिकेट का गलत इस्तेमाल करके नुकसान पहुंचाने वाले सॉफ्टवेयर को भरोसेमंद दिखाने की कोशिश करना।
ब्राउजर कंपनियों ने क्या कदम उठाए?
17 अक्तूबर को गूगल और मोजिला ने ई-मुद्रा के छह प्रभावित टीएलएस इंटरमीडिएट सर्टिफिकेट को अपनी ब्लॉक सूची में डाल दिया। इससे क्रोम और फायरफॉक्स ने इन सर्टिफिकेट पर भरोसा करना बंद कर दिया। सामान्य सेटिंग वाले यूजर्स को सुरक्षा पाने के लिए ब्राउजर अपडेट या रीस्टार्ट करने की जरूरत नहीं थी।
इसके बाद मोजिला ने फायरफॉक्स के डेस्कटॉप और एंड्रॉयड संस्करणों के लिए सुरक्षा अपडेट जारी किए और अपनी भरोसेमंद सर्टिफिकेट सूची से ईमसाइन ईसीसी रूट सीए-जी3 को हटा दिया।
गूगल ने भी समर्थित एंड्रॉयड डिवाइसों पर सुरक्षा बदलाव लागू किए और क्रोम की भरोसेमंद सूची से इस रूट सर्टिफिकेट को हटाने की प्रक्रिया शुरू की। गूगल के मुताबिक, यह बदलाव 27 अक्तूबर 2026 तक संबंधित डिवाइसों पर पहुंचने की उम्मीद है।
ई-मुद्रा ने क्या सफाई दी?
ई-मुद्रा ने 21 अक्तूबर को कहा कि सुरक्षा संबंधी समस्या उसके आठ इंटरमीडिएट सर्टिफिकेट तक सीमित थी। कंपनी के मुताबिक, उसके रूट सर्टिफिकेट की प्राइवेट की और दूसरे इंटरमीडिएट सर्टिफिकेट प्रभावित नहीं हुए।
कंपनी ने बताया कि सर्टिफिकेट तैयार करने की प्रक्रिया में हुई गलती के कारण कमजोर प्राइवेट की बन गई थीं। कंपनी इस गलती की मूल वजह की जांच कर रही है।
ई-मुद्रा के मुताबिक, उसके बुनियादी ढांचे से छेड़छाड़ नहीं हुई और डेटा में सेंध लगने का मामला सामने नहीं आया। प्रभावित आठ सर्टिफिकेट में से केवल एक को वास्तविक सेवाओं में इस्तेमाल के लिए तैनात किया गया था। कंपनी ने यह भी कहा कि इनमें से किसी ने वेबसाइटों या अंतिम यूजर्स के लिए सर्टिफिकेट जारी नहीं किए थे।
कंपनी ने 18 अक्तूबर को सभी आठ प्रभावित इंटरमीडिएट सर्टिफिकेट रद्द कर दिए। उसने कहा कि वह प्रभावित ग्राहकों को नए सर्टिफिकेट देने और ब्राउजर कंपनियों की सुरक्षा टीमों के साथ मिलकर समस्या का समाधान करने पर काम कर रही है।
कंपनी के मुताबिक, प्रभावित टीएलएस कारोबार उसके कुल राजस्व का करीब एक फीसदी है। हालांकि, उसने इस घटना से प्रतिष्ठा पर पड़ने वाले संभावित असर का आकलन करना मुश्किल बताया।
मंत्रालय ने क्या बताया?
इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय ने कहा कि इस घटना का भारतीय वेबसाइटों और ऐप पर असर सीमित और कम समय के लिए रहा। मंत्रालय ने मामले पर काम करने और संबंधित पक्षों के साथ समन्वय के लिए एक विशेष टीम बनाई है। मंत्रालय के मुताबिक, भारत में इस्तेमाल होने वाले ई-मुद्रा के डिजिटल सिग्नेचर सर्टिफिकेट और ई-साइन सेवाएं इस घटना से प्रभावित नहीं हुई हैं।
