डिजिटल ट्रस्ट में लगी और बैंगलोर में स्थित कंपनी eMudhra ने अपने वैश्विक SSL/TLS प्रमाणपत्र व्यवसाय को छोड़ने का निर्णय लिया है। यह निर्णय कमजोर क्रिप्टोग्राफ़िक कुंजियों से संबंधित एक सुरक्षा घटना के बाद लिया गया था, जिसने गूगल और मोज़िला का ध्यान आकर्षित किया।
गुरुवार को दायर एक आधिकारिक नोटिस में, कंपनी ने बताया कि उसके निदेशक मंडल ने स्वेच्छा से इस गतिविधि से बाहर निकलने का फैसला किया है। कंपनी द्वारा बताए गए कारणों में नियामक अनुपालन की बढ़ती लागत, डेटा संप्रभुता की बढ़ती आवश्यकताएं और कम वाणिज्यिक रिटर्न शामिल हैं।
यह निर्णय eMudhra से जुड़े प्रमाणन प्राधिकरणों (Certificate Authorities) की आठ मध्यवर्ती कुंजियों की खतरनाक रूप से कमजोर पाए जाने के बाद आया था। ये कमजोरियां संभावित रूप से हमलावरों को वैध वेबसाइटों के रूप में खुद को प्रस्तुत करने की अनुमति दे सकती थीं। हालांकि कुंजियाँ अप्रैल 2025 में उत्पन्न हुई थीं, उनकी कमजोरी लगभग अठारह महीनों तक अनसुनी रही। नतीजतन, गूगल और मोज़िला ने उपयोगकर्ताओं की सुरक्षा के लिए प्रभावित प्रमाणपत्रों को ब्लॉक करने के उपाय किए।
eMudhra के अध्यक्ष, वी श्रीनिवासन ने कहा कि कंपनी ने समस्या का पता चलने के 14 घंटों के भीतर प्रभावित प्रमाणन प्राधिकरणों को वापस ले लिया और तुरंत इस जानकारी का खुलासा किया। कंपनी जोर देती है कि उसका बुनियादी ढांचा से समझौता नहीं किया गया था, कोई डेटा लीक नहीं हुआ था, और किसी भी प्रभावित मध्यवर्ती निकाय ने अंतिम उपयोगकर्ताओं को प्रमाणपत्र जारी नहीं किए थे।
वैश्विक SSL/TLS प्रमाणपत्र, जिनका उपयोग साइटों को प्रमाणित करने और ऑनलाइन संचार की सुरक्षा सुनिश्चित करने के लिए किया जाता है, eMudhra के विश्व राजस्व का लगभग 1% थे। श्रीनिवासन ने उल्लेख किया कि डेटा संप्रभुता और नियामक अनुपालन की बढ़ती मांगों ने इस व्यवसाय को अधिक जटिल और महंगा बना दिया है। इसके अलावा, मुफ्त में SSL/TLS प्रमाणपत्र प्रदान करने वाले बड़े विक्रेताओं से प्रतिस्पर्धा ने इसकी वाणिज्यिक क्षमता और निवेश पर रिटर्न को कम कर दिया है।
श्रीनिवासन ने टिप्पणी की, 'सोशल मीडिया पर इस घटना की दृश्यता ने उस महत्व के अनुपात में ध्यान आकर्षित किया जो SSL/TLS हमारे व्यवसाय में रखता है।' उन्होंने आगे कहा कि निदेशक मंडल ने गहन चर्चा के बाद निष्कर्ष निकाला कि वैश्विक SSL/TLS व्यवसाय से बाहर निकलना कंपनी और उसके शेयरधारकों के लिए सही कदम है।
eMudhra ने घोषणा की है कि अब वह SSL/TLS सेगमेंट के बाहर मुख्य कॉर्पोरेट समाधानों और डिजिटल ट्रस्ट सेवाओं पर ध्यान केंद्रित करेगी। कंपनी ने यह भी आश्वासन दिया है कि उसके G1 RSA रूट प्रमाणपत्र संक्रमण अवधि के दौरान ग्राहकों की सेवा करना जारी रखेंगे, जबकि वह वापसी की प्रक्रिया को सुविधाजनक बनाने के लिए ब्राउज़र और ग्राहकों के साथ सहयोग कर रही है। कंपनी प्रभावित ग्राहकों से संपर्क करेगी और भागीदारों के माध्यम से प्रमाणपत्रों के मुफ्त प्रतिस्थापन की व्यवस्था करेगी।
प्रमाणपत्र वापसी और स्थिति सेवाएं तब तक प्रदान की जाएंगी जब तक कि सभी जारी किए गए प्रमाणपत्र समाप्त नहीं हो जाते या प्रतिस्थापित नहीं हो जाते। eMudhra ने मुख्य कारण की पूरी रिपोर्ट प्रदान करने सहित रूट ब्राउज़र के साथ शेष दायित्वों को पूरा करने का भी वादा किया है। बाहर निकलने की समय सीमा निर्दिष्ट नहीं की गई है।
कंपनी ने इस बात पर जोर दिया कि उसका वैश्विक SSL/TLS बुनियादी ढांचा भारतीय डिजिटल हस्ताक्षर प्रमाणपत्र (DSC) और eSign सेवाओं जैसे अन्य व्यावसायिक क्षेत्रों से अलग से काम करता है। उद्यमों के लिए उसकी सार्वजनिक कुंजी अवसंरचना प्लेटफॉर्म, जिसमें emCA और CertiNext शामिल हैं, साथ ही SecurePass और emAS जैसे पहचान और प्रमाणीकरण समाधान, सामान्य रूप से काम करते रहेंगे। इस घटना ने वैश्विक ब्राउज़र विक्रेताओं और भारतीय अधिकारियों का ध्यान आकर्षित किया। गूगल की क्रोम सुरक्षा टीम ने चेतावनी दी थी कि कमजोर कुंजियों से हमलावरों को विश्वसनीय HTTPS प्रमाणपत्रों को नकली बनाने की अनुमति मिल सकती है, जबकि मोज़िला ने फ़ायरफ़ॉक्स में प्रभावित प्रमाणपत्रों को ब्लॉक कर दिया। इसके अलावा, भारत की कंप्यूटर आपातकालीन प्रतिक्रिया टीम (CERT-In) ने 21 अक्टूबर को एक परामर्श संदेश जारी किया, जिसमें समझौता किए गए प्रमाणपत्र कुंजियों से जुड़े जोखिमों पर प्रकाश डाला गया।
