कमजोरियों के कारण eMudhra वैश्विक SSL/TLS प्रमाणपत्र जारी करने के व्यवसाय से स्वेच्छा से बाहर हो रहा है

वेबसाइट सुरक्षा प्रदान करने के अपने वैश्विक व्यवसाय से जुड़े प्रमाणन प्राधिकरणों (CA) के आठ मध्यवर्ती कुंजियों में एक गंभीर कमजोरी का पता चलने के बाद कंपनी eMudhra पर कड़ी निगरानी पड़ गई। यह भेद्यता उन प्रणालियों के बारे में गंभीर चिंताएं पैदा करती है जिनका उपयोग ब्राउज़र नेटवर्क में विश्वास स्थापित करने के लिए करते हैं।

इस कमी के कारण दुर्भावनापूर्ण तत्वों को नकली HTTPS प्रमाणपत्र बनाने और वैध वेब संसाधनों के रूप में खुद को प्रस्तुत करने की क्षमता मिल सकती थी। 21 अक्टूबर 2026 के eMudhra के बयान के अनुसार, कुंजियाँ 30 अप्रैल 2025 को उत्पन्न की गई थीं, लेकिन यह कमजोरी लगभग अठारह महीनों तक अनजानी रही।

प्रमाणन प्राधिकरण (CA) प्रामाणिकता की जांच और डिजिटल प्रमाणपत्र जारी करने के लिए जिम्मेदार होता है। मध्यवर्ती निकाय रूट प्रमाणपत्र के तत्वावधान में कार्य करते हैं, जिस पर ब्राउज़र और ऑपरेटिंग सिस्टम भरोसा करते हैं।

eMudhra ने बताया कि कुंजी पीढ़ी प्रक्रिया के दौरान कुंजी रैपिंग/अनपैकिंग चरण हुआ, जिसने दूसरा, कमजोर कुंजी सेट बनाया, जिसे बाद में ब्राउज़र रूट प्रमाणपत्र भंडारों में प्रकाशित किया गया। हालांकि कंपनी ने आश्वासन दिया कि उसकी रूट निजी कुंजी से समझौता नहीं किया गया था, ब्राउज़र ऑपरेटरों ने निवारक उपाय किए और संबंधित रूट CA emSign ECC Root CA - G3 पर भरोसा वापस ले लिया।

गूगल की क्रोम सुरक्षा टीम ने चेतावनी दी कि यह भेद्यता किसी भी व्यक्ति को उन ग्राहकों के खिलाफ किसी भी साइट का अनुकरण करने के लिए विश्वसनीय HTTPS प्रमाणपत्रों को जाली बनाने की अनुमति देती है जिन्होंने अभी तक इन CA पर भरोसा नहीं हटाया है। गूगल ने प्रभावित कुंजियों को ब्लॉक कर दिया है और 27 अक्टूबर प्रशांत समय तक माता-पिता की जड़ को क्रोम के ट्रस्ट स्टोर से हटाने की योजना बना रहा है। नतीजतन, इस रूट के तहत प्रमाणपत्रों का उपयोग करने वाली कुछ वैध साइटें क्रोम में काम करना बंद कर सकती हैं।

इस बीच, मोजिला ने संदेश प्राप्त होने के तीन घंटे के भीतर फ़ायरफ़ॉक्स में प्रभावित प्रमाणपत्रों को ब्लॉक कर दिया और सॉफ्टवेयर अपडेट जारी किए ताकि उपयोगकर्ताओं को अतिरिक्त सुरक्षा मिल सके जो स्वचालित सुरक्षा प्राप्त नहीं कर सकते।

घटना का तत्काल प्रभाव सीमित प्रतीत होता है, हालांकि जांच जारी है। eMudhra ने जोर देकर कहा कि आठ प्रभावित मध्यवर्ती निकायों में से कोई भी अंतिम उपयोगकर्ता प्रमाणपत्र जारी नहीं करता था, इसका बुनियादी ढांचा से समझौता नहीं किया गया था और कोई डेटा लीक नहीं हुआ था। कंपनी ने संयुक्त राज्य अमेरिका में एक प्रभावित ग्राहक पारिस्थितिकी तंत्र की पहचान की है जहां प्रमाणपत्रों को बदला जा रहा है।

कंपनी ने यह भी उल्लेख किया कि भारत में इसकी डिजिटल हस्ताक्षर और eSign सेवाएं, जो एक अलग बुनियादी ढांचे पर चलती हैं, अप्रभावित रहीं। कारण के संबंध में अनिश्चितता को स्वीकार करते हुए, eMudhra ने कहा: 'हमने अभी तक सटीक मूल कारण की पुष्टि नहीं की है। हम अपनी जांच पूरी होने के बाद इसे पूरी तरह से प्रकाशित करेंगे।'

यह घटना डिजिटल विश्वास उद्योग के लिए एक व्यापक समस्या को उजागर करती है। एन्क्रिप्शन संचार की सुरक्षा कर सकता है, लेकिन केवल तभी जब वेबसाइट की पहचान प्रमाणित करने वाले प्रमाणपत्र विश्वसनीय हों। इसलिए, ब्राउज़र निर्माता अपने स्वयं के विश्वसनीय प्रमाणपत्र सूचियां बनाए रखते हैं और जब आपूर्तिकर्ता नियंत्रण विफल हो जाता है तो स्वीकृति रद्द कर सकते हैं।

प्रमाणपत्र पारदर्शिता के सार्वजनिक लॉग भी संदिग्ध प्रमाणपत्र जारी करने का पता लगाने में मदद करते हैं। eMudhra के लिए जटिल प्रश्न यह है कि इतने बड़े पैमाने पर कमजोरी दो ऑडिट चक्रों के दौरान कैसे पता नहीं चल पाई। कंपनी ने अपनी कुंजी पीढ़ी प्रक्रियाओं की समीक्षा करने और एकल विश्वास श्रृंखला पर निर्भरता कम करने के लिए कॉर्पोरेट ग्राहकों को अतिरिक्त प्रमाणन प्राधिकरण से प्रमाणपत्र प्रदान करने की पेशकश करने की घोषणा की।