eMudhra Security Flaw: eMudhra के 8 इंटरमीडिएट डिजिटल सर्टिफिकेट में गंभीर सुरक्षा खामी मिली। जानें Google, Apple, Microsoft और Mozilla ने क्या कदम उठाए और आम यूजर्स पर इसका क्या असर पड़ेगा।

eMudhra Security Flaw: भारतीय साइबर सिक्योरिटी कंपनी के 8 डिजिटल सर्टिफिकेट में बड़ी खामी, Google-Apple समेत टेक कंपनियों ने उठाए कदम

eMudhra Security Flaw: भारत की डिजिटल ट्रस्ट और साइबर सिक्योरिटी कंपनी eMudhra के आठ इंटरमीडिएट डिजिटल सर्टिफिकेट में गंभीर सुरक्षा खामी सामने आई है। रिपोर्ट के मुताबिक, इन सर्टिफिकेट से जुड़ी निजी क्रिप्टोग्राफिक चाबियों (Private Keys) में पर्याप्त रैंडमनेस नहीं थी। इसके कारण शोधकर्ता इन चाबियों का अनुमान लगाकर उन्हें एक सेकंड से भी कम समय में रिकवर करने में सफल रहे। इस खुलासे के बाद Google, Apple, Microsoft और Mozilla जैसी प्रमुख टेक कंपनियों ने प्रभावित सर्टिफिकेट पर भरोसा रोकने के लिए कदम उठाए हैं। यह मामला इसलिए महत्वपूर्ण है, क्योंकि डिजिटल सर्टिफिकेट इंटरनेट पर वेबसाइटों की पहचान सत्यापित करने और सुरक्षित कनेक्शन स्थापित करने में अहम भूमिका निभाते हैं। हालांकि, उपलब्ध जानकारी के मुताबिक, इन कमजोर चाबियों का इस्तेमाल करके किसी साइबर हमले को अंजाम दिए जाने का प्रमाण सामने नहीं आया है। कंपनी ने भी स्पष्ट किया है कि यह मामला उसके ग्लोबल TLS सर्टिफिकेट कारोबार के सीमित हिस्से से संबंधित है।

eMudhra Security Flaw: क्या है eMudhra और यह कंपनी क्या काम करती है?

eMudhra भारत की एक डिजिटल ट्रस्ट और साइबर सिक्योरिटी कंपनी है। यह डिजिटल सर्टिफिकेट, डिजिटल पहचान, ऑथेंटिकेशन और इलेक्ट्रॉनिक हस्ताक्षर से जुड़ी सेवाएं प्रदान करती है। कंपनी डिजिटल सर्टिफिकेट जारी करने वाली सर्टिफिकेट अथॉरिटी (Certificate Authority या CA) के रूप में भी काम करती है।

आसान भाषा में समझें तो डिजिटल सर्टिफिकेट किसी वेबसाइट का डिजिटल पहचान पत्र होता है। जब कोई यूजर बैंकिंग वेबसाइट, ऑनलाइन शॉपिंग प्लेटफॉर्म या किसी अन्य इंटरनेट सेवा को खोलता है, तो ब्राउजर सर्टिफिकेट के जरिए यह सत्यापित करने में मदद करता है कि वह सही सर्वर से जुड़ रहा है। यह प्रक्रिया HTTPS कनेक्शन के माध्यम से यूजर और वेबसाइट के बीच डेटा को एन्क्रिप्ट करने में भी महत्वपूर्ण होती है। इससे पासवर्ड, लॉगिन सेशन और दूसरी संवेदनशील जानकारियों को सुरक्षित रखने में मदद मिलती है। सर्टिफिकेट अथॉरिटी केवल वेबसाइटों के लिए ही नहीं, बल्कि इंटरमीडिएट सर्टिफिकेट भी जारी करती है। ये सर्टिफिकेट आगे दूसरे सर्टिफिकेट जारी करने के लिए इस्तेमाल किए जा सकते हैं। इसलिए इस व्यवस्था में किसी इंटरमीडिएट सर्टिफिकेट की निजी चाबी कमजोर होने पर इंटरनेट के भरोसेमंद सर्टिफिकेट सिस्टम पर असर पड़ सकता है।

eMudhra Security Flaw: eMudhra के आठ डिजिटल सर्टिफिकेट में क्या खामी मिली?

रिपोर्ट के अनुसार, eMudhra के आठ इंटरमीडिएट सर्टिफिकेट 30 अप्रैल 2025 को बनाए गए थे। इन सर्टिफिकेट की निजी चाबियां तैयार करने की प्रक्रिया में गंभीर कमी रह गई थी। चाबियों के लिए जरूरी अप्रत्याशित और सुरक्षित संख्यात्मक मान तैयार नहीं हुए, जिससे उनका अनुमान लगाना बेहद आसान हो गया। इन सर्टिफिकेट में P-384 एलिप्टिक कर्व क्रिप्टोग्राफी का इस्तेमाल किया जाना था। यह क्रिप्टोग्राफिक तकनीक मजबूत डिजिटल सुरक्षा के लिए उपयोग की जाती है। सामान्य तौर पर ऐसी चाबियों को इस तरह बनाया जाता है कि उनका अनुमान लगाना व्यावहारिक रूप से बेहद कठिन हो। लेकिन शोधकर्ताओं के मुताबिक, प्रभावित चाबियों के मान केवल एक बाइट के दायरे में थे। रिपोर्ट में इन आठ मानों को 4, 56, 66, 115, 155, 156, 230 और 237 बताया गया है।

एक बाइट में केवल 256 संभावित मान होते हैं। ऐसे सीमित दायरे के कारण शोधकर्ता चाबियों को आसानी से खोज सके और एक सेकंड से भी कम समय में उन्हें रिकवर कर लिया। यह किसी मजबूत क्रिप्टोग्राफिक चाबी के लिए अपेक्षित सुरक्षा स्तर से बहुत बड़ी चूक थी।

eMudhra Security Flaw: कमजोर निजी चाबियों से कैसे हो सकता था साइबर हमला?

डिजिटल सर्टिफिकेट की सुरक्षा उसकी निजी चाबी पर निर्भर करती है। यदि किसी इंटरमीडिएट सर्टिफिकेट की निजी चाबी कमजोर हो और कोई हमलावर उसे हासिल कर ले, तो वह उस सर्टिफिकेट के अधिकारों का दुरुपयोग करने की कोशिश कर सकता है। ऐसी स्थिति में हमलावर प्रभावित सर्टिफिकेट अथॉरिटी के भरोसे के आधार पर फर्जी वेबसाइट सर्टिफिकेट बनाने का प्रयास कर सकता है। यदि फर्जी सर्टिफिकेट किसी ब्राउजर या सिस्टम को वैध दिखाई दे, तो यूजर को असली वेबसाइट जैसी दिखने वाली नकली वेबसाइट पर भेजने का जोखिम पैदा हो सकता है।

उदाहरण के लिए, कोई साइबर अपराधी बैंक की वेबसाइट जैसी दिखने वाली साइट तैयार कर सकता है। यदि सुरक्षा व्यवस्था फर्जी पहचान को स्वीकार कर ले, तो यूजर को यह समझने में परेशानी हो सकती है कि वह असली वेबसाइट पर है या नकली सर्वर से जुड़ा है।

eMudhra Security Flaw: इस तरह की स्थिति में फिशिंग, यूजर की संवेदनशील जानकारी चुराने और सुरक्षित कनेक्शन का दुरुपयोग करने का जोखिम बढ़ सकता है। हालांकि, कमजोर चाबी मिलने का अर्थ यह नहीं है कि ऐसे हमले वास्तव में हुए हैं। फिलहाल उपलब्ध जानकारी के मुताबिक, इन चाबियों के जरिए हमले किए जाने का प्रमाण सामने नहीं आया है।

यह भी ध्यान रखना जरूरी है कि सामने आई समस्या आठ विशेष इंटरमीडिएट सर्टिफिकेट से जुड़ी बताई गई है। इसे eMudhra के सभी सर्टिफिकेट या उसकी सभी डिजिटल सेवाओं में खामी के रूप में नहीं देखा जाना चाहिए।

eMudhra Security Flaw: Google, Apple, Microsoft और Mozilla ने क्या कदम उठाए?

सुरक्षा खामी की जानकारी सामने आने के बाद प्रमुख टेक कंपनियों ने प्रभावित सर्टिफिकेट पर भरोसा रोकने के लिए कदम उठाए हैं। इसका उद्देश्य ब्राउजर और ऑपरेटिंग सिस्टम के जरिए संभावित दुरुपयोग के जोखिम को कम करना है।

Google: कंपनी ने Chrome और Android के लिए प्रभावित सर्टिफिकेट के संबंध में सुरक्षा उपाय किए हैं। इसके साथ ही Chrome के ट्रस्ट स्टोर से संबंधित रूट सर्टिफिकेट को हटाने की प्रक्रिया भी घोषित की गई है।

Apple: Apple ने प्रभावित सर्टिफिकेट पर भरोसा रोकने के लिए कार्रवाई की है, ताकि उसके प्लेटफॉर्म पर सुरक्षित कनेक्शन की विश्वसनीयता बनाए रखी जा सके।

Microsoft: Microsoft ने भी प्रभावित सर्टिफिकेट को लेकर भरोसे से संबंधित सुरक्षा कदम उठाए हैं।

Mozilla: Firefox ब्राउजर में प्रभावित सर्टिफिकेट को ब्लॉक करने के लिए कदम उठाए गए हैं।

Cloudflare: कंपनी ने अपने नेटवर्क और कुछ सेवाओं की सुरक्षा के लिए आवश्यक उपाय लागू किए हैं।

हालांकि, अलग-अलग ब्राउजर, ऑपरेटिंग सिस्टम, नेटवर्क उपकरण और अपने कस्टम सर्टिफिकेट ट्रस्ट स्टोर का इस्तेमाल करने वाले सिस्टम में सुरक्षा उपाय लागू होने का तरीका अलग हो सकता है। इसलिए कुछ संगठनों को अपने सिस्टम की अलग से जांच और अपडेट करने की जरूरत पड़ सकती है।

eMudhra Security Flaw: eMudhra ने सुरक्षा खामी पर क्या सफाई दी?

eMudhra के मुताबिक, यह मामला अप्रैल 2025 में की-जनरेशन प्रक्रिया के दौरान बनाए गए आठ इंटरमीडिएट सर्टिफिकेट से जुड़ा है। कंपनी ने कहा है कि वह इस सुरक्षा मामले की जांच कर रही है और प्रभावित सर्टिफिकेट के संबंध में आवश्यक कदम उठा रही है। कंपनी के अनुसार, यह समस्या उसके ग्लोबल TLS सर्टिफिकेट कारोबार के सीमित हिस्से तक ही सीमित है। उसने स्पष्ट किया है कि उसकी रूट सर्टिफिकेट अथॉरिटी की निजी चाबियां और अन्य इंटरमीडिएट सर्टिफिकेट इस खामी से प्रभावित नहीं हैं। eMudhra ने यह भी बताया कि प्रभावित आठ सर्टिफिकेट में से केवल एक का प्रोडक्शन में इस्तेमाल किया गया था। कंपनी के बयान के मुताबिक, इन सर्टिफिकेट के माध्यम से अलग-अलग वेबसाइटों के लिए सर्टिफिकेट जारी नहीं किए गए थे। कंपनी इस मामले में ब्राउजर डेवलपर्स और अन्य संबंधित पक्षों के साथ मिलकर काम कर रही है। जांच पूरी होने और अतिरिक्त जानकारी सामने आने के बाद सुरक्षा खामी के दायरे को लेकर अधिक स्पष्टता मिल सकती है।

eMudhra Security Flaw: क्या eMudhra की डिजिटल सिग्नेचर और eSign सेवाएं भी प्रभावित हुई हैं?

इस मामले में एक महत्वपूर्ण सवाल यह है कि क्या eMudhra की डिजिटल सिग्नेचर और eSign सेवाओं का इस्तेमाल करने वाले ग्राहकों को भी चिंता करने की जरूरत है। कंपनी ने स्पष्ट किया है कि सामने आई समस्या उसके कुछ ग्लोबल TLS सर्टिफिकेट से संबंधित है। उसके अनुसार, भारत में दी जाने वाली डिजिटल सिग्नेचर और eSign सेवाएं इस घटना से प्रभावित नहीं हुई हैं। कंपनी इन सेवाओं के लिए अलग इंफ्रास्ट्रक्चर का इस्तेमाल करती है।

इसलिए आठ इंटरमीडिएट सर्टिफिकेट में मिली खामी को कंपनी की सभी डिजिटल सेवाओं में सुरक्षा उल्लंघन मानना सही नहीं होगा। हालांकि, सुरक्षा से जुड़े मामलों में कंपनी की आधिकारिक जानकारी और संबंधित सिस्टम के अपडेट पर नजर रखना जरूरी है।

eMudhra Security Flaw: Chrome के ट्रस्ट स्टोर में बदलाव से क्या असर पड़ सकता है?

Google की ओर से दी गई जानकारी के अनुसार, संबंधित रूट सर्टिफिकेट को Chrome के ट्रस्ट स्टोर से हटाने की प्रक्रिया 27 अक्टूबर 2026 से लागू होने की उम्मीद है। इस बदलाव का उद्देश्य प्रभावित सर्टिफिकेट श्रृंखला पर ब्राउजर के भरोसे को समाप्त करना है। इसका असर उन वेबसाइटों पर पड़ सकता है जो संबंधित सर्टिफिकेट श्रृंखला पर निर्भर हैं। यदि कोई वेबसाइट समय रहते दूसरे भरोसेमंद सर्टिफिकेट ढांचे में माइग्रेट नहीं करती, तो कुछ यूजर्स को कनेक्शन संबंधी चेतावनी या वेबसाइट खोलने में परेशानी का सामना करना पड़ सकता है। हालांकि, इसका अर्थ यह नहीं है कि इंटरनेट पर मौजूद सभी वेबसाइटें प्रभावित होंगी। असर संबंधित सर्टिफिकेट श्रृंखला और इस्तेमाल किए जा रहे ब्राउजर या सिस्टम पर निर्भर करेगा। वेबसाइट संचालकों और आईटी प्रशासकों को अपने TLS सर्टिफिकेट, सर्टिफिकेट चेन और ट्रस्ट स्टोर की जांच करनी चाहिए। जरूरत पड़ने पर उन्हें किसी अन्य भरोसेमंद सर्टिफिकेट अथॉरिटी से सर्टिफिकेट लेकर उसे लागू करना पड़ सकता है।

eMudhra Security Flaw: आम इंटरनेट यूजर्स को क्या करना चाहिए?

फिलहाल आम इंटरनेट यूजर्स को घबराने की जरूरत नहीं है। प्रमुख टेक कंपनियों ने प्रभावित सर्टिफिकेट के जोखिम को कम करने के लिए कदम उठाए हैं। यूजर्स कुछ सामान्य सावधानियां अपनाकर अपनी डिजिटल सुरक्षा बेहतर रख सकते हैं।

ब्राउजर अपडेट रखें: Google Chrome, Mozilla Firefox और अन्य ब्राउजर के नवीनतम स्थिर संस्करण का इस्तेमाल करें।

ऑपरेटिंग सिस्टम अपडेट करें: Android, Windows, macOS और अन्य डिवाइस पर उपलब्ध सुरक्षा अपडेट इंस्टॉल करें।

वेबसाइट का पता जांचें: बैंकिंग और भुगतान से जुड़ी वेबसाइट खोलते समय सही डोमेन नाम की पुष्टि करें।

सर्टिफिकेट चेतावनी को नजरअंदाज न करें: यदि ब्राउजर किसी वेबसाइट के सुरक्षा सर्टिफिकेट को लेकर चेतावनी देता है, तो उसे अनदेखा करके आगे न बढ़ें।

सर्टिफिकेट सेटिंग में खुद बदलाव न करें: आम यूजर्स को प्रभावित सर्टिफिकेट को मैन्युअल रूप से हटाने या ट्रस्ट सेटिंग बदलने की जरूरत नहीं है। ऐसा करने से दूसरी वैध सेवाओं में भी समस्या आ सकती है।

वेबसाइट संचालकों और संगठनों को अतिरिक्त सावधानी बरतनी चाहिए। उन्हें यह जांचना चाहिए कि उनके सर्वर, एप्लिकेशन या नेटवर्क उपकरण प्रभावित सर्टिफिकेट पर निर्भर तो नहीं हैं।

eMudhra Security Flaw: क्या है इस मामले का सबसे बड़ा सबक?

eMudhra के आठ इंटरमीडिएट सर्टिफिकेट में सामने आई खामी बताती है कि डिजिटल सुरक्षा में मजबूत एल्गोरिदम का इस्तेमाल करना ही पर्याप्त नहीं है। निजी चाबियां बनाने की प्रक्रिया भी सुरक्षित और अप्रत्याशित होनी चाहिए। यदि चाबी तैयार करने के दौरान ही कमजोरी रह जाए, तो मजबूत क्रिप्टोग्राफिक तकनीक का लाभ भी कम हो सकता है। इस मामले में Google, Apple, Microsoft और Mozilla जैसे प्रमुख टेक प्लेटफॉर्म की कार्रवाई इंटरनेट पर डिजिटल सर्टिफिकेट के भरोसेमंद ढांचे की अहमियत को भी उजागर करती है। फिलहाल उपलब्ध जानकारी के अनुसार, कमजोर चाबियों का इस्तेमाल कर साइबर हमले किए जाने का प्रमाण सामने नहीं आया है। eMudhra ने भी समस्या को अपने ग्लोबल TLS कारोबार के सीमित हिस्से से जुड़ा बताया है। ऐसे में आम यूजर्स के लिए ब्राउजर और डिवाइस अपडेट रखना सबसे जरूरी कदम है, जबकि वेबसाइट संचालकों को अपने सर्टिफिकेट इंफ्रास्ट्रक्चर की जांच करनी चाहिए।