eMudhra की गड़बड़ी से सुरक्षा पर खतरा, कंपनी ने छोड़ा डिजिटल सर्टिफिकेट बिजनेस

eMudhra की खामी से सुरक्षा पर बड़ा संकट

eMudhra, जो वेबसाइटों की प्रामाणिकता सत्यापित करने के लिए डिजिटल सर्टिफिकेट जारी करने वाली एक प्रमुख सर्टिफिकेट अथॉरिटी (CA) है, में एक बड़ी सुरक्षा चूक सामने आई है। इस घटना ने साइबर सुरक्षा जगत में चिंता की लहरें दौड़ा दी हैं।

क्रिप्टोग्राफ़िक कुंजी बनाने में खामी

यह घटना कंपनी की क्रिप्टोग्राफ़िक कुंजी (cryptographic key) बनाने की प्रक्रिया में एक बग (bug) के कारण हुई। मूल रूप से 115 अंकों की होनी चाहिए वाली ये कुंजियाँ, 30 अप्रैल, 2025 को हुई एक कुंजी-उत्पन्न समारोह (key-generation ceremony) के दौरान इस्तेमाल की गई एक त्रुटिपूर्ण पाइथन स्क्रिप्ट (Python script) के कारण काफी छोटी हो गईं।

चिंताजनक बात यह है कि कुछ कुंजियाँ केवल चार अंकों तक छोटी हो गईं, जिससे वे आसानी से अनुमान लगाने योग्य और हमलावरों द्वारा दुरुपयोग के प्रति संवेदनशील हो गईं।

त्रुटिपूर्ण कुंजी निर्माण प्रक्रिया

त्रुटिपूर्ण प्रक्रिया में एक हार्डवेयर सिक्योरिटी मॉड्यूल (HSM) का उपयोग करके क्रिप्टोग्राफ़िक कुंजियाँ बनाई जा रही थीं, जो कुंजी प्रबंधन के लिए एक विशेष उपकरण है। eMudhra ने दो HSMs के बीच कुंजियों के हस्तांतरण को सुगम बनाने के लिए एक कस्टम पाइथन स्क्रिप्ट का उपयोग किया।

हालांकि, इस स्क्रिप्ट में एक बग था जिसने अनजाने में आठ विशिष्ट कुंजियों को छोटा कर दिया। प्रभावित आठ कुंजियाँ थीं: 4, 56, 66, 115, 155, 156, 230, और 237। '4' जैसी छोटी कुंजी को लगभग तुरंत ही अनुमान लगाया जा सकता है, जिससे उनसे जुड़े डिजिटल प्रमाणपत्रों की अखंडता को गंभीर खतरा था।

डेटा लीक का जोखिम

चिंता को बढ़ाते हुए, पाइथन स्क्रिप्ट ने इन समझौता की गई कुंजियों की प्रतियां एक साधारण कंप्यूटर की मेमोरी में भी बना दीं। इसका मतलब था कि कुंजियाँ HSM के सुरक्षित वातावरण के बाहर उजागर हो सकती थीं, जिससे अनधिकृत पहुंच और दुरुपयोग की संभावना काफी बढ़ गई थी।

एहतियात के तौर पर, eMudhra ने बाद में इन आठ प्रभावित कुंजियों से जुड़े सभी 16 डिजिटल प्रमाणपत्रों को रद्द कर दिया। कंपनी ने तब से अपनी कुंजी निर्माण पद्धति को बदल दिया है, और कुंजियों को HSMs के बीच स्थानांतरित किए बिना बनाने का विकल्प चुना है।

कंपनी का जवाब और व्यवसाय से निकास

इस घटना के बाद, eMudhra ने सार्वजनिक रूप से माफी मांगी और सुरक्षा चिंताओं को पूरी तरह से दूर करने के लिए एक विशेषज्ञ समीक्षा की घोषणा की। कंपनी ने डिजिटल सर्टिफिकेट व्यवसाय से पूरी तरह से बाहर निकलने के अपने फैसले की भी पुष्टि की है, जो सुरक्षा संबंधी चिंता के बाद उसके संचालन में एक महत्वपूर्ण बदलाव का संकेत देता है।

सरकार ने इस सुरक्षा भेद्यता से उत्पन्न संभावित नुकसान की पूरी सीमा का आकलन करने के लिए एक उच्च-स्तरीय समीक्षा और ऑडिट करने का संकेत दिया है। यह घटना डिजिटल सर्टिफिकेट पारिस्थितिकी तंत्र में मजबूत सुरक्षा प्रोटोकॉल के महत्वपूर्ण महत्व और जब ये विफल होते हैं तो इसके संभावित परिणाम को उजागर करती है।