ईमुद्रा साइबर सुरक्षा अलर्ट: कमजोर सर्टिफिकेट कीज़ से वैश्विक वेब सुरक्षा पर चिंता

ईमुद्रा साइबर सुरक्षा मामला: कमजोर सर्टिफिकेट कीज़ से वैश्विक वेबसाइट सुरक्षा पर चिंता

भारतीय डिजिटल पहचान और सुरक्षा समाधान प्रदाता ईमुद्रा से जुड़े एक साइबर सुरक्षा मामले ने वेबसाइटों और ऑनलाइन संचार को सुरक्षित करने वाले डिजिटल सर्टिफिकेट की विश्वसनीयता पर चिंता बढ़ा दी है। मामला आठ इंटरमीडिएट सर्टिफिकेट अथॉरिटी सर्टिफिकेट से जुड़ा है, जिनकी निजी क्रिप्टोग्राफिक कीज़ अपर्याप्त रैंडमनेस के साथ बनाई गई थीं।

इस कमजोरी से हमलावर प्रभावित निजी कीज़ को दोबारा हासिल कर सकता है और ऐसे फर्जी सर्टिफिकेट बना सकता है जो ब्राउजर और अन्य सॉफ्टवेयर को भरोसेमंद लगें। ऐसे सर्टिफिकेट का इस्तेमाल वैध वेबसाइटों की नकल करने और कुछ परिस्थितियों में एन्क्रिप्टेड संचार पर हमले आसान बनाने में हो सकता है।

भारतीय कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-In) ने 21 अक्टूबर 2026 को सुरक्षा एडवाइजरी जारी कर संगठनों और यूजर को प्रभावित सर्टिफिकेट से जुड़े जोखिमों के प्रति आगाह किया। गूगल, मोज़िला और अन्य टेक कंपनियों ने भी समझौता हुए सर्टिफिकेट को ब्लॉक करने के कदम उठाए हैं।

ईमुद्रा में क्या हुआ?

21 अक्टूबर को प्रकाशित ईमुद्रा के बयान के अनुसार, समस्या 30 अप्रैल 2025 को हुई क्रिप्टोग्राफिक की-जनरेशन प्रक्रिया के दौरान पैदा हुई।

कंपनी ने कहा कि की-जनरेशन प्रक्रिया में खामी की वजह से इच्छित मजबूत कीज़ के साथ कमजोर कीज़ का दूसरा सेट भी बन गया। बाद में कमजोर कीज़ को कंपनी के वैश्विक वेबसाइट सुरक्षा कारोबार में इस्तेमाल होने वाली प्रभावित इंटरमीडिएट सर्टिफिकेट अथॉरिटी के हिस्से के तौर पर प्रकाशित कर दिया गया।

समस्या अंतर्निहित P-384 इलिप्टिक-कर्व क्रिप्टोग्राफिक एल्गोरिदम की सामान्य कमजोरी नहीं थी। CERT-In ने समझाया कि प्रभावित निजी कीज़ अपर्याप्त क्रिप्टोग्राफिक रैंडमनेस के साथ बनाई गई थीं, जिससे उनका तेजी से दोबारा हासिल किया जाना संभव हो गया।

क्रिप्टोग्राफिक कीज़ पर्याप्त रूप से अप्रत्याशित मानों से बनाई जानी चाहिए। अगर किसी निजी की का सार्वजनिक रूप से उपलब्ध जानकारी से अनुमान लगाया जा सके या उसे दोबारा तैयार किया जा सके, तो हमलावर उसका दुरुपयोग करके ऐसे सर्टिफिकेट बना सकता है जो किसी भरोसेमंद अथॉरिटी के जारी किए हुए लगें।

इस घटना ने की-जनरेशन प्रक्रियाओं, क्वालिटी एश्योरेंस और इंटरनेट पर भरोसा कायम करने के लिए जिम्मेदार संगठनों में जरूरी सुरक्षा उपायों पर सवाल खड़े किए हैं।

डिजिटल सर्टिफिकेट क्यों मायने रखते हैं

डिजिटल सर्टिफिकेट आधुनिक इंटरनेट सुरक्षा का अहम हिस्सा हैं। जब यूजर HTTPS वाली वेबसाइट पर जाता है, तो ब्राउजर उसके डिजिटल सर्टिफिकेट की जांच करता है, ताकि यह तय करने में मदद मिले कि वेबसाइट वैध पहचान पेश कर रही है और कनेक्शन को सुरक्षित बनाया जा सकता है।

सर्टिफिकेट अथॉरिटी वे सर्टिफिकेट जारी और प्रबंधित करती हैं, जिन पर ब्राउजर और ऑपरेटिंग सिस्टम भरोसा कर सकते हैं। इंटरमीडिएट सर्टिफिकेट अथॉरिटी किसी रूट अथॉरिटी के अधीन काम करती हैं और तय ट्रस्ट ढांचे के भीतर सर्टिफिकेट जारी करने के लिए अधिकृत की जा सकती हैं।

अगर किसी इंटरमीडिएट अथॉरिटी की निजी की से समझौता हो जाए, तो हमलावर ऐसी वेबसाइटों के फर्जी सर्टिफिकेट बना सकता है जिन पर उसका नियंत्रण नहीं है। अगर कोई ब्राउजर या एप्लिकेशन प्रभावित सर्टिफिकेट चेन पर भरोसा करता रहे, तो कुछ परिस्थितियों में फर्जी सर्टिफिकेट स्वीकार किया जा सकता है।

इससे वेबसाइट की नकल और संभावित रूप से मैन-इन-द-मिडिल हमले संभव हो सकते हैं, जिनमें हमलावर यूजर और किसी सेवा के बीच संचार को बीच में रोकता या बदलता है।

CERT-In की एडवाइजरी में समझौता हुई कोड-साइनिंग कीज़ से जुड़े संभावित जोखिमों की भी पहचान की गई, जिनका दुरुपयोग दुर्भावनापूर्ण सॉफ्टवेयर को भरोसेमंद डिजिटल हस्ताक्षर वाला दिखाने में हो सकता है।

ये कमजोरी के संभावित नतीजे हैं। इन्हें इस बात का सबूत नहीं समझा जाना चाहिए कि हमलावरों ने प्रभावित कीज़ का सफलतापूर्वक इस्तेमाल किया या यूजर की जानकारी चुराई गई।

ब्राउजर कंपनियों ने सुरक्षात्मक कदम उठाए

खुलासे के बाद प्रमुख टेक कंपनियों ने प्रभावित सर्टिफिकेट पर भरोसा जारी रहने से रोकने के कदम उठाए।

गूगल की क्रोम सिक्योरिटी टीम ने 20 अक्टूबर को बताया कि उसने प्रभावित इंटरमीडिएट सर्टिफिकेट अथॉरिटी से जुड़े पब्लिक-की आइडेंटिफायर ब्लॉक कर दिए। कंपनी ने कहा कि यह सुरक्षा क्रोम के सिक्योरिटी अपडेट तंत्र के जरिये दी गई, जिसमें यूजर को पारंपरिक ब्राउजर अपडेट इंस्टॉल करने या क्रोम रीस्टार्ट करने की जरूरत नहीं पड़ी।

मोज़िला ने भी अपने सर्टिफिकेट रिवोकेशन सिस्टम के जरिये प्रभावित सर्टिफिकेट ब्लॉक किए और कुछ कॉन्फ़िगरेशन के लिए फायरफॉक्स के अतिरिक्त सिक्योरिटी अपडेट जारी किए। एप्पल और माइक्रोसॉफ्ट सहित अन्य टेक कंपनियों ने भी अपने-अपने ट्रस्ट सिस्टम में इस मुद्दे को सुलझाने के कदम उठाए।

इन कदमों का मकसद इस जोखिम को घटाना है कि ब्राउजर प्रभावित कीज़ से जुड़े सर्टिफिकेट स्वीकार करें। हालांकि, एप्लिकेशन, ऑपरेटिंग सिस्टम और डिवाइसों में सुरक्षा अलग-अलग हो सकती है। कुछ सॉफ्टवेयर अपना खुद का सर्टिफिकेट स्टोर रखते हैं या हो सकता है उन्हें वही रिवोकेशन जानकारी अपने आप न मिले।

गूगल ने क्रोम रूट स्टोर से emSign ECC Root CA - G3 रूट सर्टिफिकेट हटाने की योजना की भी घोषणा की। इस कदम से प्रभावित ट्रस्ट चेन पर निर्भर कुछ वैध सर्टिफिकेट क्रोम में काम करना बंद कर सकते हैं, जब तक वेबसाइट संचालक किसी वैकल्पिक भरोसेमंद सर्टिफिकेट हाइरार्की पर न चले जाएं।

CERT-In ने सुरक्षा एडवाइजरी जारी की

CERT-In की एडवाइजरी में संगठनों, सरकारी विभागों, उद्यमों, इंटरनेट सेवा प्रदाताओं, सॉफ्टवेयर वेंडरों, एप्लिकेशन डेवलपरों और वेबसाइट एडमिनिस्ट्रेटरों को उन समूहों में गिना गया है, जिन्हें अपने सिस्टम की समीक्षा करनी चाहिए।

एजेंसी समर्थित ब्राउजरों, ऑपरेटिंग सिस्टम और अन्य प्रभावित सॉफ्टवेयर के नवीनतम सुरक्षा अपडेट इंस्टॉल करने की सिफारिश करती है। संगठनों को यह भी पहचानना चाहिए कि उनकी सेवाएं प्रभावित इंटरमीडिएट अथॉरिटी के तहत जारी सर्टिफिकेट पर निर्भर हैं या नहीं, और जरूरत पड़ने पर उन्हें बदलना चाहिए।

वेबसाइट एडमिनिस्ट्रेटरों को किसी उपयुक्त भरोसेमंद अथॉरिटी से बदले हुए सर्टिफिकेट पाने के लिए अपने सर्टिफिकेट प्रदाताओं के साथ काम करना चाहिए। सिस्टम एडमिनिस्ट्रेटरों और डेवलपरों को सर्टिफिकेट वैलिडेशन व्यवस्था की समीक्षा करनी चाहिए और सुनिश्चित करना चाहिए कि उनके सॉफ्टवेयर को अपडेटेड ट्रस्ट जानकारी मिले।

यूजर को अपने ब्राउजर और डिवाइस अपडेटेड रखने चाहिए और सर्टिफिकेट चेतावनियों को नजरअंदाज नहीं करना चाहिए। ब्राउजर की चेतावनी का मतलब हो सकता है कि वेबसाइट की पहचान ठीक से सत्यापित नहीं हो पा रही है, और उसे नजरअंदाज करने से यूजर अनावश्यक जोखिम में पड़ सकते हैं।

ईमुद्रा का कहना है कि भारतीय डिजिटल सिग्नेचर सेवाएं अप्रभावित हैं

ईमुद्रा ने कहा है कि समस्या उसके अंतरराष्ट्रीय वेबसाइट सुरक्षा कारोबार से जुड़ी आठ इंटरमीडिएट अथॉरिटी तक सीमित है। कंपनी ने कहा कि उसके ढांचे से समझौता नहीं हुआ और डेटा उल्लंघन का कोई सबूत नहीं मिला है।

उसने यह भी कहा कि उसके भारतीय डिजिटल सिग्नेचर सर्टिफिकेट और ई-साइन सेवाएं अप्रभावित हैं, क्योंकि ये परिचालन अलग ढांचे का इस्तेमाल करते हैं।

यह अंतर अहम है, क्योंकि कंपनी का अंतरराष्ट्रीय वेबसाइट सर्टिफिकेट कारोबार और उसकी घरेलू डिजिटल सिग्नेचर सेवाएं अलग-अलग व्यवस्थाओं के तहत चलती हैं। CERT-In की एडवाइजरी भी प्रभावित वैश्विक वेबसाइट सर्टिफिकेट परिचालन को ईमुद्रा की उन भारतीय डिजिटल सिग्नेचर सर्टिफिकेट और ई-साइन सेवाओं से अलग बताती है, जिन्हें सर्टिफाइंग अथॉरिटीज के नियंत्रक विनियमित करते हैं।

ईमुद्रा ने कहा कि वह मूल कारण की जांच कर रही है और प्रभावित सर्टिफिकेट बदलने के लिए ग्राहकों के साथ काम कर रही है। कंपनी ने यह भी स्वीकार किया कि इस घटना से साख को जोखिम पैदा हो सकता है।

कंपनी के बयान स्वतंत्र तकनीकी सत्यापन और लगातार निगरानी की जरूरत खत्म नहीं करते। प्रभावित सर्टिफिकेट चेन इस्तेमाल करने वाले संगठनों को मौजूदा तकनीकी मार्गदर्शन पर भरोसा करना चाहिए और पुष्टि करनी चाहिए कि बदले गए सर्टिफिकेट और सॉफ्टवेयर अपडेट ठीक से लागू हो गए हैं।

सार्वजनिक खुलासों में दुर्भावनापूर्ण इस्तेमाल की पुष्टि नहीं

गूगल ने बताया कि उसकी ब्लॉकिंग कार्रवाई से पहले प्रभावित छह वेबसाइट-प्रमाणन इंटरमीडिएट से जुड़ा कोई TLS सर्टिफिकेट सर्टिफिकेट ट्रांसपेरेंसी लॉग में नहीं दिखा था। ईमुद्रा ने भी कहा कि प्रभावित इंटरमीडिएट अथॉरिटी ने एंड यूजर को सर्टिफिकेट जारी नहीं किए थे।

21 अक्टूबर की CERT-In एडवाइजरी में उद्धृत सार्वजनिक खुलासों तक प्रभावित कीज़ के दुर्भावनापूर्ण इस्तेमाल की पुष्टि नहीं हुई थी।

सर्टिफिकेट ट्रांसपेरेंसी लॉग सार्वजनिक रूप से भरोसेमंद सर्टिफिकेट की निगरानी करने और संदिग्ध जारी किए जाने का पता लगाने का तरीका देते हैं। हालांकि, इन लॉग में किसी सर्टिफिकेट की गैरमौजूदगी को इस बात का सबूत नहीं माना जाना चाहिए कि दुरुपयोग का हर संभावित तरीका नामुमकिन है, खासकर अलग-अलग सर्टिफिकेट-वैलिडेशन व्यवस्था वाले सॉफ्टवेयर और सिस्टम में।

यह घटना बताती है कि भरोसेमंद की-जनरेशन, सर्टिफिकेट निगरानी, तुरंत रिवोकेशन और ब्राउजर प्रदाताओं के बीच समन्वित कार्रवाई इंटरनेट सुरक्षा के लिए क्यों अहम हैं।

यूजर और कारोबार आगे क्या करें

यूजर को आधिकारिक माध्यमों से अपने ब्राउजर और ऑपरेटिंग सिस्टम अपडेट करने चाहिए और अपने सॉफ्टवेयर प्रदाताओं के जारी सुरक्षा दिशानिर्देशों का पालन करना चाहिए। कारोबारों को सर्टिफिकेट इन्वेंटरी की समीक्षा करनी चाहिए, जहां प्रासंगिक हो अपने सर्टिफिकेट प्रदाताओं से संपर्क करना चाहिए, प्रभावित सर्टिफिकेट बदलने चाहिए और बदलाव के बाद अपनी सेवाओं का परीक्षण करना चाहिए।

टेक्नोलॉजी टीमों को यह भी जांचना चाहिए कि एप्लिकेशन, सर्वर, कंटेनर और एम्बेडेड डिवाइस ऐसे स्वतंत्र सर्टिफिकेट स्टोर पर तो निर्भर नहीं हैं जिन्हें अलग अपडेट चाहिए।

ईमुद्रा मामला उजागर करता है कि अपेक्षाकृत कम संख्या की सर्टिफिकेट अथॉरिटी की कोई खामी कहीं ज्यादा व्यापक डिजिटल इकोसिस्टम में सुरक्षा चिंताएं कैसे पैदा कर सकती है। सुरक्षात्मक उपाय लागू होने के बावजूद संगठनों को यह सत्यापित करना चाहिए कि उनके अपने सिस्टम को जरूरी अपडेट मिल गए हैं।

की-जनरेशन की चूक की जांच और व्यापक सुधार प्रयास पूरे परिचालन असर को तय करने में अहम होंगे। फिलहाल केंद्रीय प्राथमिकताएं हैं: प्रभावित सर्टिफिकेट पर से भरोसा हटाना, जरूरत पड़ने पर उन्हें बदलना और इंटरनेट से जुड़े सिस्टमों में सर्टिफिकेट प्रबंधन की भरोसेमंद प्रथाएं बनाए रखना।