{"_id":"6ada1dd7864a3185330c4a0c","slug":"emudhra-security-lapse-8-secret-digital-keys-easier-guess-than-suitcase-lock-2026-10-22","type":"photo-gallery","status":"publish","title_hn":"एक्सप्लेनर: ई-मुद्रा की सीक्रेट चाबियां बेहद कमजोर, बच्चों जैसे पासवर्ड ने डिजिटल सुरक्षा पर खड़े किए कई सवाल","category":{"title":"Tech Diary","title_hn":"टेक डायरी","slug":"tech-diary"}}
एक्सप्लेनर: ई-मुद्रा की सीक्रेट चाबियां बेहद कमजोर, बच्चों जैसे पासवर्ड ने डिजिटल सुरक्षा पर खड़े किए कई सवाल
Fri, 23 Oct 2026 07:00 AM IST
जागृति शुक्ला
टेक डेस्क, अमर उजाला, नई दिल्ली
टेक डेस्क, अमर उजाला, नई दिल्ली
Published by: जागृति शुक्ला
Updated Fri, 23 Oct 2026 07:00 AM IST
सार
-अप्रैल 2025 में ई-मुद्रा की आठ इंटरमीडिएट डिजिटल कीज कमजोर बन गईं।
-ई-मुद्रा की ये कीज P-384 स्टैंडर्ड की होनी चाहिए थीं।
-इनके नंबर 4, 56, 66, 115, 155, 156, 230 और 237 थे।
-गूगल ने दो घंटे के भीतर क्रोम में इन कीज से जुड़े सर्टिफिकेट ब्लॉक किए।
विज्ञापन
ई-मुद्रा
- फोटो : amarujala.com
जब भी आप इंटरनेट पर किसी बैंक, सरकारी पोर्टल या ई-कॉमर्स वेबसाइट को खोलते हैं, तो एड्रेस बार में दिखने वाला एक छोटा-सा हरा या काला ताला आपको सुरक्षित होने का एहसास दिलाता है। यह ताला बताता है कि वेबसाइट असली है और आपका डेटा सुरक्षित है, लेकिन क्या हो अगर इस ताले को बनाने और उसकी चाबी संभालने वाले देश की सबसे बड़ी कंपनी से ही चूक हो जाए। चूक इतनी बड़ी कि कोई बच्चा भी उसकी सीक्रेट चाबी का अंदाजा लगा ले?
Trending Videos
ई-मुद्रा
- फोटो : अमर उजाला
ई-मुद्रा का पूरा मामला क्या है?
- दरअसल, ई-मुद्रा डिजिटल ट्रस्ट और सर्टिफिकेट से जुड़ी सेवाएं देने वाली कंपनी है। ऐसी कंपनियों वेबसाइट्स और डिजिटल सेवाओं की पहचान की पुष्टि करने वाले सर्टिफिकेट जारी करती हैं। इंटरनेट पर सुरक्षित कनेक्शन बनाने में इन सर्टिफिकेट की जरूरत होती है।
- अब मामले की शुरुआत होती है, अप्रैल 2025 से, जब ई-मुद्रा ने की जनरेशन सेरेमनी आयोजित की थी। इसमें हार्डवेयर सिक्योरिटी मॉड्यूल यानी एचएसएम की मदद से आठ इंटरमीडिएट कीज बनाई गईं, लेकिन प्रक्रिया के एक टेस्ट स्टेप में एक ऐसी गलती हो गई, जिसने बाद में सुरक्षा पर एक बड़ा सवाल खड़ा कर दिया। जिन कीज को मजबूत क्रिप्टोग्राफिक मानक के मुताबिक बनाया जाना चाहिए था, वे बेहद छोटे और आसानी से अनुमान लगाए जा सकने वाले नंबरों पर आधारित थीं। यही चूक आगे चलकर कंपनी की डिजिटल सर्टिफिकेट व्यवस्था के लिए सुरक्षा का गंभीर मुद्दा बन गई।
ई-मुद्रा
- फोटो : amarujala.com
आठ सीक्रेट कीज के नंबर इतने आसान क्यों थे?
- बता दें कि आठ कीज को -384 क्रिप्टोग्राफिक स्टैंडर्ड के अनुसार होना था। यह एक ऐसा मानक होता है, जिसमें प्राइवेट की का अनुमान लगाना कठिन होना चाहिए, लेकिन इस मामले में कीज के नंबर 4, 56, 66, 115, 155, 156, 230 और 237 थे।
- जो कि बहुत छोटी संख्याएं थी। इसीलिए किसी सामान्य कंप्यूटर्स के लिए संभावित नंबरों को आजमाकर इनका पता लगाना बेहद आसान था।
- दी गई जानकारी के अनुसार, कंप्यूटर इन्हें एक सेकंड से भी कम समय में ढूंढ सकता था। और आसानी से कहें तो, डिजिटल सुरक्षा में इस्तेमाल होने वाली सीक्रेट की ऐसी होनी चाहिए, जिसका अनुमान लगाना लगभग नामुमकिन हो। लेकिन यहां ऐसा कुछ नहीं हुआ, इसमें कीज के नंबर इतने छोटे थे कि उन्हें खोजने के लिए बहुत ज्यादा कंप्यूटिंग ताकत की जरूरत नहीं थी। यही वजह है कि इस मामले को डिजिटल सुरक्षा की गंभीर चूक माना गया।
विज्ञापन
विज्ञापन
ई-मुद्रा
- फोटो : amarujala.com
रिसर्चर ने कब दी चेतावनी?
- 17 अक्तूबर को वेन (Wayne) नाम के एक रिसर्चर ने गूगल, एपल, माइक्रोसॉफ्ट, मोजिला और ई-मुद्रा को सबूत भेजे। उसने बताया कि उसके पास इन सभी आठ प्राइवेट कीज की जानकारी है।
- प्राइवेट की का किसी बाहरी व्यक्ति के हाथ लगना गंभीर जोखिम है, क्योंकि इसका इस्तेमाल संबंधित डिजिटल सर्टिफिकेट की रिलायबिलिटी को चुनौती देने के लिए किया जा सकता है।
- रिपोर्ट के अनुसार, गूगल ने जानकारी मिलने के करीब दो घंटे के भीतर क्रोम में इन कीज से जुड़े सर्टिफिकेट ब्लॉक कर दिए। इसके अगले दिन, 18 अक्तूबर को ई-मुद्रा ने सभी आठ कीज को रिवोक कर दिया।
- यहां पर रिवोक करने का मतलब है कि किसी संबंधित कीज को अब वैध मानकर इस्तेमाल नहीं किया जाना चाहिए। इस कदम का मकसद कमजोर कीज से जुड़े संभावित सुरक्षा जोखिम को कम करना था।
विज्ञापन
ई-मुद्रा डिजिटल की
- फोटो : amarujala.com
डिजिटल की और सर्टिफिकेट क्या होते हैं?
इस पूरे मामले को समझने के लिए आपको डिजिटल सर्टिफिकेट और प्राइवेट की का अंतर जानना जरूरी हो सकता है। जो इस तरह है...
1. डिजिटल सर्टिफिकेट क्या है?
2. प्राइवेट की क्यों जरूरी है?
क्या इन कमजोर कीज का गलत इस्तेमाल हुआ?
इस पूरे मामले को समझने के लिए आपको डिजिटल सर्टिफिकेट और प्राइवेट की का अंतर जानना जरूरी हो सकता है। जो इस तरह है...
1. डिजिटल सर्टिफिकेट क्या है?
- जब भी आप कोई वेबसाइट को खोलते हैं, तो ब्राउजर उसके डिजिटल सर्टिफिकेट की मदद से यह जांच सकता है कि वेबसाइट की पहचान और सुरक्षित कनेक्शन से जुड़ी जानकारी भरोसेमंद है या नहीं। ब्राउजर में दिखने वाला पैडलॉक इसी सुरक्षित कनेक्शन व्यवस्था से जुड़ा होता है।
- ई-मुद्रा जैसी सर्टिफिकेट अथॉरिटी डिजिटल सर्टिफिकेट जारी करती हैं। ब्राउजर इन सर्टिफिकेट की वैधता जांचने के लिए विश्वसनीय सर्टिफिकेट अथॉरिटी और उनके रूट सर्टिफिकेट पर भी भरोसा करता है।
2. प्राइवेट की क्यों जरूरी है?
- प्राइवेट की के बारे में बात करें तो, यह एक गुप्त क्रिप्टोग्राफिक जानकारी होती है। इसे सुरक्षित रखना जरूरी है, क्योंकि डिजिटल सर्टिफिकेट की विश्वसनीयता इससे जुड़ी हो सकती है।
- अगर किसी हमलावर को प्राइवेट की मिल जाए, तो वह उससे जुड़े सर्टिफिकेट का गलत इस्तेमाल करने की कोशिश कर सकता है। इसी वजह से प्राइवेट की का मजबूत होना और उसका गोपनीय रहना बेहद जरूरी है। इस मामले में समस्या यही थी कि आठ कीज की गोपनीयता पर भरोसा नहीं किया जा सकता था, क्योंकि उनके नंबर आसानी से अनुमान लगाए जा सकते थे।
क्या इन कमजोर कीज का गलत इस्तेमाल हुआ?
- इन कीज को लेकर गलत इस्तेमाल की पुष्टि नहीं हुई है। गूगल और CERT-In के अनुसार, अभी तक इनका कोई गलत इस्तेमाल नहीं किया गया है।
- ई-मुद्रा का कहना है कि आठ में से सिर्फ एक की लाइव थी और उस की का इस्तेमाल करके कोई वेबसाइट सर्टिफिकेट जारी नहीं किया गया था।
- यहां पर यह अंतर समझना जरूरी है। कमजोर प्राइवेट की मिल जाना अपने आप में सुरक्षा जोखिम है, लेकिन इससे यह साबित नहीं होता कि किसी ने उसका इस्तेमाल करके हमला किया या किसी वेबसाइट का डेटा चुराया।
- अभी तक दी गई जानकारी में डेटा चोरी या इन कीज के जरिए किसी सफल हमले की पुष्टि नहीं हुई है। इसलिए इसे सुरक्षा की गंभीर चूक कहना सही है, लेकिन यह कहना कि इन कीज से हमला हुआ ही था, उपलब्ध तथ्यों से आगे जाना होगा।
