ईमुद्रा की सर्टिफ़िकेट कुंजियों पर मेइटी की जांच, सर्ट-इन ने जारी की एडवाइज़री

इलेक्ट्रॉनिकी और सूचना प्रौद्योगिकी मंत्रालय (मेइटी) ने डिजिटल सर्टिफ़िकेट कंपनी ईमुद्रा में सुरक्षा चूक की जांच शुरू की है, और भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल (सर्ट-इन) ने बुधवार को बचाव के उपायों पर एडवाइज़री जारी की।

ईमुद्रा ने बताया है कि उसके पब्लिक की इंफ्रास्ट्रक्चर (पीकेआई) में आठ इंटरमीडिएट सर्टिफ़िकेशन अथॉरिटी सर्टिफ़िकेट से जुड़ी निजी कुंजियां असुरक्षित हो गईं। इनमें छह टीएलएस सर्टिफ़िकेट थे, जो वेबसाइटों से कनेक्शन सुरक्षित करते हैं, और दो कोड-साइनिंग सर्टिफ़िकेट, जो यह प्रमाणित करते हैं कि कोई सॉफ़्टवेयर भरोसेमंद प्रकाशक का है।

गड़बड़ी क्या थी

कंपनी ने कहा कि उसके सिस्टम की एक खामी की वजह से मज़बूत कुंजियों के साथ कमज़ोर क्रिप्टोग्राफ़िक कुंजियां भी बन गईं। एक शोधकर्ता ने ऐपल, गूगल, माइक्रोसॉफ़्ट और मोज़िला को आगाह किया कि इन कमज़ोर कुंजियों का पता लगाया जा सकता है, एआई की मदद वाली तकनीकों से भी।

सुरक्षा विशेषज्ञों का कहना है कि टीएलएस कुंजियां हाथ लगने पर हमलावर उन डोमेन के लिए फ़र्ज़ी सर्टिफ़िकेट जारी कर सकता है जो उसके नहीं हैं, असली वेबसाइटों की नकल कर सकता है और एन्क्रिप्टेड ट्रैफ़िक को बीच में पढ़ या बदल सकता है। कोड-साइनिंग कुंजियों के दुरुपयोग से नुकसानदेह सॉफ़्टवेयर को भरोसेमंद स्रोत का बताकर फैलाया जा सकता है।

ईमुद्रा ने कहा कि उसके इंफ्रास्ट्रक्चर में सेंध नहीं लगी, ग्राहकों का कोई डेटा उजागर नहीं हुआ और उसके भौतिक व तार्किक सुरक्षा नियंत्रण बरकरार हैं। कंपनी के मुताबिक समस्या उसके अंतरराष्ट्रीय टीएलएस सर्टिफ़िकेट कारोबार के एक छोटे हिस्से तक सीमित थी, जिससे उसकी करीब 1% आय आती है, और उसके घरेलू डिजिटल हस्ताक्षर कामकाज पर इसका असर नहीं पड़ा।

सरकार का पक्ष

बताया गया है कि अधिकारियों ने भारतीय वेबसाइटों और ऐप पर असर को सीमित और अस्थायी बताया, और कहा कि ईमुद्रा की भारत में विनियमित डिजिटल सिग्नेचर सर्टिफ़िकेट और ई-साइन सेवाएं प्रभावित नहीं हुईं। उन्होंने सोशल मीडिया पर बढ़ा-चढ़ाकर किए जा रहे दावों से सावधान किया और कहा कि मंत्रालय दूसरे सर्टिफ़िकेट ऑपरेटरों से भी जांच कर रहा है। जांच पूरी होने पर और ब्योरा आने की उम्मीद है।