चर्चा में क्यों?
भारत के इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय ने ई-मुद्रा से जुड़ी प्रभावित वेबसाइट-प्रमाणपत्र कुंजियों की जांच के लिए एक टीम का गठन किया है। बेंगलुरु स्थित यह कंपनी डिजिटल क्रेडेंशियल जारी करती है जो ब्राउज़रों को किसी वेबसाइट की पहचान सत्यापित करने में मदद करते हैं। एक शोधकर्ता ने 17 अक्टूबर 2026 को आठ मध्यवर्ती जारीकर्ता-प्राधिकरण प्रमाणपत्रों के लिए कमजोर गुप्त हस्ताक्षर कुंजियों की जानकारी दी। वेब मध्यवर्ती जारीकर्ता विश्वसनीय प्राधिकरणों और व्यक्तिगत वेबसाइट प्रमाणपत्रों के बीच की मध्य कड़ियां होते हैं। उनकी प्रभावित कुंजियां वहां वेबसाइट प्रतिरूपण को सक्षम कर सकती थीं जहां उपयोगकर्ता का सॉफ्टवेयर अभी भी प्रभावित श्रृंखला पर भरोसा करता था। ब्राउज़र विक्रेताओं ने ब्लॉकिंग उपाय जारी किए, जबकि सरकार की 21 अक्टूबर की एडवाइजरी में कहा गया कि भारत की विनियमित दस्तावेज़-हस्ताक्षर और ई-साइन सेवाएं अप्रभावित रहीं। 22 अक्टूबर को, ई-मुद्रा ने अपने वैश्विक वेबसाइट-प्रमाणपत्र व्यवसाय से बाहर निकलने और ग्राहकों के स्थानांतरण की व्यवस्था करने के निर्णय की घोषणा की। ये घटनाक्रम एक विशेष विश्वास अवसंरचना से संबंधित हैं, न कि इस बात का प्रमाण हैं कि ई-मुद्रा की हर सेवा या ग्राहक खाता प्रभावित हुआ था।
एक कंपनी, विश्वास की अलग-अलग प्रणालियां
एक प्रमाणपत्र प्राधिकरण डिजिटल प्रमाणपत्र जारी करता है जो किसी पहचान को सार्वजनिक क्रिप्टोग्राफिक कुंजी से जोड़ते हैं। कंपनी का कार्य वेबसाइट-सुरक्षा प्रमाणपत्रों और दस्तावेज़-हस्ताक्षर सेवाओं तक फैला हुआ है, जिनकी विश्वास और नियामक व्यवस्थाएं अलग-अलग हैं। भारत में, प्रमाणन प्राधिकरण नियंत्रक प्रमाणन प्राधिकरणों को लाइसेंस देता है और विनियमित डिजिटल-हस्ताक्षर ढांचे की देखरेख करता है। इसकी सूची में पैनलबद्ध ई-साइन सेवा प्रदाता के रूप में ई-मुद्रा भी शामिल है। उस घरेलू ढांचे के भीतर अनुमोदन किसी ब्राउज़र की विश्वसनीय वेबसाइट-प्रमाणपत्र जारीकर्ताओं की सूची में शामिल होने के समान नहीं है।
यह अंतर तय करता है कि मौजूदा उपयोगकर्ताओं के लिए इस घटना का क्या अर्थ है। दस्तावेज़-हस्ताक्षर सेवा किसी व्यक्ति या संगठन को इलेक्ट्रॉनिक रिकॉर्ड पर हस्ताक्षर करने में मदद करती है। एक वेबसाइट प्रमाणपत्र ब्राउज़र को उस सर्वर को प्रमाणित करने में मदद करता है जिसके साथ वह संवाद कर रहा है। भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल, जिसे CERT-In के रूप में जाना जाता है, ने कहा कि यह घटना वैश्विक प्रमाणपत्र-विश्वास अवसंरचना से संबंधित थी। इसकी एडवाइजरी ने इसे भारत के विनियमित डिजिटल-हस्ताक्षर प्रमाणपत्र और ई-साइन सेवाओं से अलग बताया। यह तथ्य कि एक ही कंपनी दोनों सेवाएं प्रदान करती है, इसका अर्थ यह नहीं है कि एक ही क्रिप्टोग्राफिक कुंजियां या प्रभावित पदानुक्रम दोनों कार्यों को पूरा करते हैं।
वेबसाइट प्रमाणपत्र वास्तव में क्या सिद्ध करता है
आधुनिक सुरक्षित वेबसाइट कनेक्शन क्लाइंट और सर्वर के बीच संचार की सुरक्षा के लिए ट्रांसपोर्ट लेयर सिक्योरिटी, या TLS का उपयोग करते हैं। यह गुप्त रूप से सुनने के विरुद्ध एन्क्रिप्शन, अनदेखे बदलाव के विरुद्ध जांच और सर्वर को प्रमाणित करने का एक तरीका प्रदान करता है। किसी वेबसाइट का प्रमाणपत्र उसके डोमेन नाम को एक सार्वजनिक कुंजी से बांधता है, जो उस प्रमाणीकरण का समर्थन करता है। यह इस गारंटी से अधिक सीमित है कि व्यवसाय ईमानदार है या उसके पृष्ठों पर सब कुछ सुरक्षित है। एक प्रमाणपत्र कनेक्शन के पीछे की पहचान स्थापित करने में मदद करता है; यह उस पर किए गए हर दावे का समर्थन नहीं करता है।
पब्लिक-की क्रिप्टोग्राफी गणितीय रूप से संबंधित कुंजियों के एक जोड़े का उपयोग करती है। निजी कुंजी गुप्त रहनी चाहिए, जबकि सार्वजनिक कुंजी साझा की जा सकती है। हस्ताक्षर प्रक्रिया में निजी कुंजी का उपयोग होता है; अन्य लोग परिणामी हस्ताक्षर की जांच करने के लिए सार्वजनिक कुंजी का उपयोग कर सकते हैं। सुरक्षा इस बात पर निर्भर करती है कि बाहरी लोग उपलब्ध सार्वजनिक जानकारी से निजी कुंजी का पता लगाने में असमर्थ हों। प्रमाणपत्र और हस्ताक्षर कनेक्शन सेटअप के दौरान प्रमाणीकरण का समर्थन करते हैं। उन्हें आधुनिक TLS कनेक्शन पर आदान-प्रदान किए गए डेटा की सुरक्षा के लिए तय की गई अलग सत्र कुंजियों के साथ भ्रमित नहीं किया जाना चाहिए।
मध्यवर्ती जारीकर्ता क्यों महत्वपूर्ण है
ब्राउज़र सामान्यतः किसी वेबसाइट के प्रमाणपत्र को विश्वास की श्रृंखला के माध्यम से सत्यापित करते हैं। एक विश्वसनीय रूट सबसे ऊपर होता है; एक या अधिक मध्यवर्ती जारीकर्ता इसे वेबसाइट के अपने प्रमाणपत्र से जोड़ते हैं। ब्राउज़र हस्ताक्षरों की जांच करता है और यह देखता है कि प्रमाणपत्र देखी जा रही साइट से मेल खाता है या नहीं। इसलिए मध्यवर्ती जारीकर्ता के पास एक महत्वपूर्ण प्रत्यायोजित क्षमता होती है: यह उन प्रमाणपत्रों पर हस्ताक्षर कर सकता है जिन्हें अन्य सॉफ्टवेयर विश्वसनीय श्रृंखला के माध्यम से स्वीकार कर सकते हैं। यदि इसकी निजी कुंजी प्राप्त करने योग्य हो जाती है, तो कोई हमलावर वैध वेबसाइट की अपनी निजी कुंजी की आवश्यकता के बिना उस क्षमता का दुरुपयोग कर सकता है।
गूगल ने ई-मुद्रा की कमजोरी का कारण कुंजी निर्माण के दौरान अपर्याप्त यादृच्छिकता को बताया। CERT-In ने स्पष्ट किया कि इससे स्वयं अंतर्निहित क्रिप्टोग्राफिक एल्गोरिदम में कोई भेद्यता स्थापित नहीं होती है। यह सुरक्षित कुंजियां बनाने में हुई विफलता को एन्क्रिप्शन प्रणाली की सामान्य गणितीय विफलता से अलग करता है। एक लंबी या औपचारिक रूप से वैध दिखने वाली कुंजी पर्याप्त नहीं है यदि उसका गुप्त मान संभावनाओं के अत्यंत सीमित समूह से लिया गया हो। प्रासंगिक प्रश्न यह है कि क्या कुंजी सुरक्षित रूप से उत्पन्न की गई थी, न कि केवल यह कि उसे प्रदर्शित करने वाला प्रमाणपत्र सामान्य दिखता है या नहीं।
संभावित प्रतिरूपण हर संभावित उल्लंघन का प्रमाण नहीं है
मोज़िला ने स्पष्ट किया कि जब तक प्रभावित जारीकर्ता विश्वसनीय बने रहते, तब तक फर्जी प्रमाणपत्र वेबसाइटों का प्रतिरूपण कर सकते थे। हमलावर को उपयोगकर्ता के कनेक्शन को बीच में रोकना भी पड़ता। इससे ट्रैफ़िक उजागर हो सकता था या बदला जा सकता था, लेकिन यह स्थापित नहीं होता कि वेबसाइट पर आने वाले हर आगंतुक पर हमला किया गया था। CERT-In ने यह भी चेतावनी दी कि फर्जी कोड-साइनिंग प्रमाणपत्र सॉफ्टवेयर को एक विश्वसनीय प्रकाशक का होने का आभास करा सकते हैं। यह अलग से संचालित भारतीय दस्तावेज़-हस्ताक्षर सेवा के प्रभावित होने से भिन्न है। कंपनी ने कहा कि प्रभावित मध्यवर्ती प्रमाणपत्रों ने ग्राहक प्रमाणपत्र जारी नहीं किए थे और उसे पहले किसी दुरुपयोग की जानकारी नहीं थी। उसने यह भी कहा कि उसकी अवसंरचना में सेंध नहीं लगी थी। ये जांच संबंधी दावे हैं, न कि सार्वभौमिक सुरक्षा गारंटी या बड़े पैमाने पर डेटा चोरी का प्रमाण।
कंपनी ने कहा कि उसने 18 अक्टूबर को सभी आठ प्रभावित मध्यवर्ती प्रमाणपत्रों को निरस्त कर दिया। उसने इस कमजोरी को अप्रैल 2025 के कुंजी-निर्माण अभ्यास के दौरान हुई एक प्रक्रियात्मक खामी से जोड़ा। उसने कहा कि पूर्ण मूल कारण की अभी भी जांच की जा रही है। एक प्रभावित मध्यवर्ती कुंजी और एक प्रभावित रूट कुंजी एक ही घटना नहीं हैं। इसके बावजूद ब्राउज़र प्रोग्राम सुरक्षात्मक प्रतिक्रिया के रूप में मूल रूट से विश्वास वापस ले सकते हैं। वह निर्णय पदानुक्रम के तहत अन्य प्रमाणपत्रों को प्रभावित कर सकता है, भले ही उनकी अपनी निजी कुंजियां कमजोर न पाई गई हों।
ब्राउज़र और एप्लिकेशन अपडेट अलग क्यों होते हैं
क्रोम ने 17 अक्टूबर को एक निरस्तीकरण अपडेट के माध्यम से प्रभावित सार्वजनिक कुंजियों को ब्लॉक कर दिया, और मोज़िला ने उसी दिन अपना स्वयं का ब्लॉकिंग अपडेट वितरित किया। मोज़िला ने उन उपयोगकर्ताओं के लिए ब्राउज़र अपडेट भी जारी किए जिनकी सेटिंग्स सामान्य सुरक्षा को पहुंचने से रोक सकती थीं। इसलिए सुरक्षात्मक प्रक्रिया में प्रमाणपत्र जारीकर्ता को क्रेडेंशियल निरस्त करने के लिए कहने से कहीं अधिक शामिल था। सॉफ्टवेयर को परिवर्तन प्राप्त करना और लागू करना होता है। अन्य एप्लिकेशन अपनी स्वयं की विश्वसनीय-प्रमाणपत्र सूचियां बनाए रख सकते हैं। कुछ ऐसे घटकों का उपयोग करते हैं जिन्हें ब्राउज़र का अपडेट प्राप्त नहीं होता है। इसलिए यह नहीं माना जा सकता कि सुरक्षा हर प्रणाली तक एक साथ पहुंच जाएगी।
केवल प्रभावित मध्यवर्ती प्रमाणपत्रों को ब्लॉक करने की तुलना में विश्वसनीय सूची से किसी रूट को हटाने का व्यापक संगतता प्रभाव पड़ता है। पहले से वैध वेबसाइट प्रमाणपत्र को तब प्रभावित सॉफ्टवेयर द्वारा स्वीकार किया जाना बंद हो सकता है। परिणामी चेतावनी अपने आप में यह साबित नहीं करती है कि वेबसाइट का सर्वर हैक हो गया था; हो सकता है कि उसका पूर्व विश्वास पथ अब मान्य न रहा हो। ऑपरेटर को किसी अप्रभावित पदानुक्रम से प्रतिस्थापन प्रमाणपत्र की आवश्यकता हो सकती है। यह स्पष्ट करता है कि किसी सुरक्षात्मक उपाय के लिए ग्राहक माइग्रेशन की आवश्यकता क्यों पड़ सकती है, भले ही प्रभावित मध्यवर्ती प्रमाणपत्र ने स्वयं उस ग्राहक का प्रमाणपत्र जारी न किया हो।
22 अक्टूबर का निर्णय और मौजूदा ग्राहक
22 अक्टूबर को, ई-मुद्रा ने कहा कि उसके बोर्ड ने वैश्विक वेबसाइट-प्रमाणपत्र व्यवसाय से स्वेच्छा से हटने का निर्णय लिया है। उसने इसे हर सेवा को तत्काल बंद करने के बजाय एक परिवर्तन काल के रूप में वर्णित किया। कंपनी ने कहा कि वह ग्राहकों और ब्राउज़र प्रोग्रामों के साथ काम करेगी और भागीदारों के माध्यम से बिना किसी शुल्क के प्रतिस्थापन प्रमाणपत्रों की व्यवस्था करेगी। उसने जारी किए गए प्रमाणपत्रों की अवधि समाप्त होने या उनके बदले जाने तक निरस्तीकरण और स्थिति सेवाओं को चलाने की भी प्रतिबद्धता जताई। उसने कहा कि उसके दस्तावेज़-हस्ताक्षर, ई-साइन और अन्य उद्यम संचालन जारी रहेंगे। ये घोषित परिवर्तन प्रतिबद्धताएं हैं, न कि इस बात का प्रमाण कि हर ग्राहक का माइग्रेशन पहले ही पूरा हो चुका था।
उपयोगकर्ताओं और प्रशासकों के लिए, प्रतिक्रिया प्रभावित प्रणाली के अनुरूप होनी चाहिए। CERT-In विक्रेताओं के सुरक्षा अपडेट लागू करने, प्रमाणपत्र निर्भरताओं की जांच करने और जहां आवश्यक हो वहां प्रभावित श्रृंखलाओं को बदलने की सिफारिश करता है। यह विशेष रूप से प्रमाणपत्र चेतावनियों को नजरअंदाज न करने या सत्यापन को अक्षम न करने की सलाह देता है। किसी संगठन को केवल कर्मचारी के कंप्यूटर पर मौजूद ब्राउज़र ही नहीं, बल्कि अलग प्रमाणपत्र बंडलों वाले एप्लिकेशनों पर भी विचार करने की आवश्यकता होती है। इस बीच, सरकार ने घरेलू दस्तावेज़-हस्ताक्षर प्रणाली को प्रभावित के रूप में चिह्नित नहीं किया। केवल कंपनी के नाम से जोखिम का अनुमान लगाने की तुलना में वास्तविक सेवा और विश्वास पदानुक्रम की पहचान करना अधिक उपयोगी है।
निष्कर्ष
ई-मुद्रा की घटना दिखाती है कि वेबसाइट सुरक्षा प्रमाणपत्र के पीछे के जारीकर्ताओं और कुंजियों की गुणवत्ता पर क्यों निर्भर करती है। इसकी प्रतिक्रिया में जांच, विश्वास वापस लेना, सॉफ्टवेयर अपडेट और जहां प्रमाणपत्र की श्रृंखला अब स्वीकार नहीं की जाती है वहां माइग्रेशन शामिल है। भारत का दस्तावेज़-हस्ताक्षर संबंधी अंतर और कंपनी का वेबसाइट-व्यवसाय परिवर्तन उस परिणाम के महत्वपूर्ण हिस्से हैं। वास्तविक परीक्षा यह है कि क्या प्रभावित विश्वास पथ हटा दिए गए हैं और ग्राहकों को कार्यशील, उपयुक्त रूप से विश्वसनीय प्रतिस्थापन प्राप्त होते हैं। कुंजी-निर्माण विफलता के कारण को भी स्थापित करने की आवश्यकता है।