ഇമുദ്ര: എട്ട് ദുർബലമായ CA കീകൾ, ബ്രൗസർ വിലക്കുകളും ആഗോള TLS പിന്മാറ്റവും

ഒരു കമ്പനി, വ്യത്യസ്ത വിശ്വാസ സംവിധാനങ്ങൾ

ഒരു വ്യക്തിത്വത്തെ പബ്ലിക് ക്രിപ്റ്റോഗ്രാഫിക് കീയുമായി ബന്ധിപ്പിക്കുന്ന ഡിജിറ്റൽ സർട്ടിഫിക്കറ്റുകൾ നൽകുന്ന സ്ഥാപനമാണ് സർട്ടിഫിക്കറ്റ് അതോറിറ്റി. കമ്പനിയുടെ പ്രവർത്തനങ്ങൾ വെബ്സൈറ്റ്-സുരക്ഷാ സർട്ടിഫിക്കറ്റുകളിലും ഡോക്യുമെന്റ്-സൈനിംഗ് സേവനങ്ങളിലും വ്യാപിച്ചുകിടക്കുന്നു; ഇവയ്ക്ക് വ്യത്യസ്തമായ വിശ്വാസ സംവിധാനങ്ങളും നിയന്ത്രണ ചട്ടക്കൂടുകളുമാണുള്ളത്. ഇന്ത്യയിൽ, കൺട്രോളർ ഓഫ് സർട്ടിഫൈയിംഗ് അതോറിറ്റീസ് ആണ് സർട്ടിഫൈയിംഗ് അതോറിറ്റികൾക്ക് ലൈസൻസ് നൽകുന്നതും നിയന്ത്രിത ഡിജിറ്റൽ-സിഗ്നേച്ചർ ചട്ടക്കൂടിന് മേൽനോട്ടം വഹിക്കുന്നതും. അവരുടെ പട്ടികയിൽ എംപാനൽ ചെയ്ത ഇ-സൈൻ സേവന ദാതാവായി ഇമുദ്രയും ഉൾപ്പെടുന്നു. ഈ ആഭ്യന്തര ചട്ടക്കൂടിനുള്ളിലെ അംഗീകാരം എന്നത് ഒരു ബ്രൗസറിന്റെ വിശ്വസനീയമായ വെബ്സൈറ്റ്-സർട്ടിഫിക്കറ്റ് ഇഷ്യൂവർമാരുടെ പട്ടികയിൽ ഉൾപ്പെടുന്നതിന് തുല്യമല്ല.

നിലവിലുള്ള ഉപഭോക്താക്കൾക്ക് ഈ സംഭവം എന്ത് അർത്ഥമാക്കുന്നു എന്നത് ഈ വ്യത്യാസമാണ് നിർണ്ണയിക്കുന്നത്. ഒരു ഇലക്ട്രോണിക് രേഖയിൽ ഒപ്പിടാൻ ഒരു വ്യക്തിയെയോ സ്ഥാപനത്തെയോ സഹായിക്കുകയാണ് ഡോക്യുമെന്റ്-സൈനിംഗ് സേവനം ചെയ്യുന്നത്. അതേസമയം, തങ്ങൾ ആശയവിനിമയം നടത്തുന്ന സെർവറിന്റെ ആധികാരികത ഉറപ്പാക്കാൻ ഒരു വെബ്സൈറ്റ് സർട്ടിഫിക്കറ്റ് ബ്രൗസറിനെ സഹായിക്കുന്നു. ഈ സംഭവം ആഗോള സർട്ടിഫിക്കറ്റ്-ട്രസ്റ്റ് ഇൻഫ്രാസ്ട്രക്ചറുമായി ബന്ധപ്പെട്ടതാണെന്ന് ഇന്ത്യൻ കമ്പ്യൂട്ടർ എമർജൻസി റെസ്പോൺസ് ടീം അഥവാ CERT-In വ്യക്തമാക്കി. ഇന്ത്യയുടെ നിയന്ത്രിത ഡിജിറ്റൽ-സിഗ്നേച്ചർ സർട്ടിഫിക്കറ്റ്, ഇ-സൈൻ സേവനങ്ങളിൽ നിന്ന് ഇതിനെ അവരുടെ ജാഗ്രതാ നിർദ്ദേശം വേർതിരിച്ചു കാണിച്ചു. ഒരേ കമ്പനി തന്നെ ഈ രണ്ട് സേവനങ്ങളും നൽകുന്നു എന്നതുകൊണ്ട് ഒരേ ക്രിപ്റ്റോഗ്രാഫിക് കീകളോ ബാധിക്കപ്പെട്ട അതേ ശ്രേണിയോ തന്നെയാണ് രണ്ടിനും ഉപയോഗിക്കുന്നത് എന്ന് അർത്ഥമില്ല.

ഒരു വെബ്സൈറ്റ് സർട്ടിഫിക്കറ്റ് യഥാർത്ഥത്തിൽ എന്താണ് തെളിയിക്കുന്നത്

ഒരു ക്ലയന്റും സെർവറും തമ്മിലുള്ള ആശയവിനിമയം സുരക്ഷിതമാക്കാൻ ആധുനിക വെബ്സൈറ്റ് കണക്ഷനുകൾ ട്രാൻസ്പോർട്ട് ലെയർ സെക്യൂരിറ്റി അഥവാ TLS ഉപയോഗിക്കുന്നു. ചോർത്തലുകൾക്കെതിരെ എൻക്രിപ്ഷനും, തിരിച്ചറിയപ്പെടാത്ത മാറ്റങ്ങൾക്കെതിരെയുള്ള പരിശോധനയും, സെർവറിന്റെ ആധികാരികത ഉറപ്പാക്കാനുള്ള മാർഗ്ഗവും ഇത് നൽകുന്നു. ഒരു വെബ്സൈറ്റിന്റെ സർട്ടിഫിക്കറ്റ് അതിന്റെ ഡൊമെയ്ൻ നാമത്തെ ഒരു പബ്ലിക് കീയുമായി ബന്ധിപ്പിച്ച് ആ ആധികാരികത ഉറപ്പാക്കലിനെ പിന്തുണയ്ക്കുന്നു. ആ ബിസിനസ്സ് സത്യസന്ധമാണെന്നോ അതിന്റെ പേജുകളിലുള്ളതെല്ലാം സുരക്ഷിതമാണെന്നോ ഉള്ള ഉറപ്പിനേക്കാൾ പരിമിതമായ ഒന്നാണിത്. കണക്ഷന് പിന്നിലുള്ള വ്യക്തിത്വം സ്ഥാപിക്കാൻ ഒരു സർട്ടിഫിക്കറ്റ് സഹായിക്കുന്നു; എന്നാൽ അതിലൂടെ ഉന്നയിക്കപ്പെടുന്ന എല്ലാ അവകാശവാദങ്ങളെയും അത് സാക്ഷ്യപ്പെടുത്തുന്നില്ല.

പബ്ലിക്-കീ ക്രിപ്റ്റോഗ്രാഫി ഗണിതശാസ്ത്രപരമായി ബന്ധപ്പെട്ട ഒരു ജോഡി കീകളാണ് ഉപയോഗിക്കുന്നത്. ഇതിൽ പ്രൈവറ്റ് കീ രഹസ്യമായി സൂക്ഷിക്കണം, അതേസമയം പബ്ലിക് കീ മറ്റുള്ളവരുമായി പങ്കിടാം. ഡിജിറ്റൽ ഒപ്പിടൽ പ്രക്രിയയിൽ പ്രൈവറ്റ് കീ ഉപയോഗിക്കുന്നു; തുടർന്ന് ഉണ്ടാകുന്ന ഒപ്പ് പരിശോധിക്കാൻ മറ്റുള്ളവർക്ക് പബ്ലിക് കീ ഉപയോഗിക്കാം. ലഭ്യമായ പൊതു വിവരങ്ങളിൽ നിന്ന് പ്രൈവറ്റ് കീ കണ്ടുപിടിക്കാൻ പുറത്തുനിന്നുള്ളവർക്ക് കഴിയില്ല എന്നതിലാണ് ഇതിന്റെ സുരക്ഷ നിലനിൽക്കുന്നത്. കണക്ഷൻ സ്ഥാപിക്കുന്ന സമയത്ത് ആധികാരികത ഉറപ്പാക്കാൻ സർട്ടിഫിക്കറ്റുകളും ഒപ്പുകളും സഹായിക്കുന്നു. ഒരു ആധുനിക TLS കണക്ഷനിലൂടെ കൈമാറുന്ന വിവരങ്ങൾ സംരക്ഷിക്കാൻ രൂപീകരിക്കുന്ന പ്രത്യേക സെഷൻ കീകളുമായി ഇവയെ കൂട്ടിക്കുഴയ്ക്കരുത്.

ഒരു ഇന്റർമീഡിയറ്റ് ഇഷ്യൂവർ പ്രധാനമാകുന്നത് എന്തുകൊണ്ട്

ബ്രൗസറുകൾ സാധാരണയായി ഒരു വിശ്വാസ ശൃംഖലയിലൂടെയാണ് വെബ്സൈറ്റിന്റെ സർട്ടിഫിക്കറ്റ് പരിശോധിക്കുന്നത്. ഇതിന്റെ ഏറ്റവും മുകളിൽ വിശ്വസനീയമായ ഒരു റൂട്ട് സർട്ടിഫിക്കറ്റ് ഉണ്ടാകും; ഒന്നോ അതിലധികമോ ഇന്റർമീഡിയറ്റ് ഇഷ്യൂവറുകൾ അതിനെ വെബ്സൈറ്റിന്റെ സ്വന്തം സർട്ടിഫിക്കറ്റുമായി ബന്ധിപ്പിക്കുന്നു. ബ്രൗസർ ഡിജിറ്റൽ ഒപ്പുകളും സർട്ടിഫിക്കറ്റ് സന്ദർശിക്കുന്ന സൈറ്റുമായി പൊരുത്തപ്പെടുന്നുണ്ടോ എന്നും പരിശോധിക്കുന്നു. അതിനാൽ ഇന്റർമീഡിയറ്റ് ഇഷ്യൂവർക്ക് കൈമാറ്റം ചെയ്യപ്പെട്ട പ്രധാനപ്പെട്ടൊരു അധികാരമുണ്ട്: വിശ്വസനീയമായ ശൃംഖലയിലൂടെ മറ്റ് സോഫ്റ്റ്‌വെയറുകൾ അംഗീകരിച്ചേക്കാവുന്ന സർട്ടിഫിക്കറ്റുകളിൽ ഒപ്പിടാൻ അതിന് കഴിയും. അതിന്റെ പ്രൈവറ്റ് കീ മറ്റൊരാൾക്ക് വീണ്ടെടുക്കാൻ കഴിഞ്ഞാൽ, യഥാർത്ഥ വെബ്സൈറ്റിന്റെ സ്വന്തം പ്രൈവറ്റ് കീ ഇല്ലാതെ തന്നെ ഒരു അക്രമിക്ക് ആ അധികാരം ദുരുപയോഗം ചെയ്യാൻ സാധിക്കും.

കീ നിർമ്മാണ സമയത്തെ ക്രമരഹിത സ്വഭാവത്തിന്റെ കുറവാണ് ഇമുദ്രയുടെ സുരക്ഷാ പാളിച്ചയ്ക്ക് കാരണമെന്ന് ഗൂഗിൾ ചൂണ്ടിക്കാട്ടി. എന്നാൽ ഇത് അടിസ്ഥാന ക്രിപ്റ്റോഗ്രാഫിക് അൽഗോരിതത്തിലെ തന്നെ ഒരു പിഴവായി സ്ഥാപിക്കുന്നില്ലെന്ന് CERT-In വ്യക്തമാക്കി. സുരക്ഷിതമായ കീകൾ നിർമ്മിക്കുന്നതിലെ വീഴ്ചയെ എൻക്രിപ്ഷൻ സംവിധാനത്തിന്റെ പൊതുവായ ഗണിതശാസ്ത്രപരമായ പരാജയത്തിൽ നിന്ന് ഇത് വേർതിരിക്കുന്നു. ഒരു കീയുടെ രഹസ്യ മൂല്യം വളരെ പരിമിതമായ സാധ്യതകളിൽ നിന്നാണ് തിരഞ്ഞെടുക്കുന്നതെങ്കിൽ, കാഴ്ചയിൽ നീളമുള്ളതോ ഔപചാരികമായി സാധുതയുള്ളതോ ആയ കീ ആണെങ്കിൽ പോലും അത് മതിയാകില്ല. ഒരു സർട്ടിഫിക്കറ്റിൽ കാണുന്ന കീ സാധാരണ പോലെ തോന്നുന്നുണ്ടോ എന്നതിലല്ല, മറിച്ച് അത് സുരക്ഷിതമായി നിർമ്മിക്കപ്പെട്ടതാണോ എന്നതാണ് പ്രസക്തമായ ചോദ്യം.

ആൾമാറാട്ട സാധ്യത എല്ലാ സുരക്ഷാ വീഴ്ചകളുടെയും തെളിവല്ല

ബാധിക്കപ്പെട്ട ഇഷ്യൂവറുകൾ വിശ്വസനീയമായി തുടരുന്ന കാലത്തോളം വ്യാജ സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് വെബ്സൈറ്റുകളുടെ പേരിൽ ആൾമാറാട്ടം നടത്താൻ കഴിയുമെന്ന് മോസില്ല വിശദീകരിച്ചു. ഇതിനായി ഒരു അക്രമി ഉപയോക്താവിന്റെ കണക്ഷൻ ഇടയിൽ വെച്ച് തടസ്സപ്പെടുത്തേണ്ടതുമുണ്ട്. ഇത് ഡാറ്റാ ട്രാഫിക് പുറത്താകാനോ മാറ്റം വരുത്തപ്പെടാനോ കാരണമാകുമെങ്കിലും, എല്ലാ വെബ്സൈറ്റ് സന്ദർശകരും ആക്രമിക്കപ്പെട്ടു എന്ന് ഇത് തെളിയിക്കുന്നില്ല. വ്യാജ കോഡ്-സൈനിംഗ് സർട്ടിഫിക്കറ്റുകൾ സോഫ്റ്റ്‌വെയറുകൾക്ക് വിശ്വസനീയമായ ഒരു പ്രസാധകനുണ്ടെന്ന് തോന്നിപ്പിക്കാൻ ഇടയാക്കുമെന്ന് CERT-In മുന്നറിയിപ്പ് നൽകി. പ്രത്യേകം പ്രവർത്തിക്കുന്ന ഇന്ത്യൻ ഡോക്യുമെന്റ്-സൈനിംഗ് സേവനത്തിൽ സുരക്ഷാ വീഴ്ച ഉണ്ടാകുന്നതിൽ നിന്ന് വ്യത്യസ്തമാണിത്. ബാധിക്കപ്പെട്ട ഇന്റർമീഡിയറ്റുകൾ ഉപഭോക്തൃ സർട്ടിഫിക്കറ്റുകൾ നൽകിയിട്ടില്ലെന്നും ഇതിനുമുമ്പ് ഇവ ദുരുപയോഗം ചെയ്യപ്പെട്ടതായി അറിവില്ലെന്നും കമ്പനി അറിയിച്ചു. തങ്ങളുടെ അടിസ്ഥാന സൗകര്യങ്ങളിൽ നുഴഞ്ഞുകയറ്റം നടന്നിട്ടില്ലെന്നും കമ്പനി വ്യക്തമാക്കി. ഇവ അന്വേഷണവുമായി ബന്ധപ്പെട്ട അവകാശവാദങ്ങളാണ്, അല്ലാതെ പൂർണ്ണ സുരക്ഷാ ഉറപ്പോ വൻതോതിലുള്ള വിവരമോഷണത്തിന്റെ തെളിവോ അല്ല.

ബാധിക്കപ്പെട്ട എട്ട് ഇന്റർമീഡിയറ്റ് സർട്ടിഫിക്കറ്റുകളും ഒക്ടോബർ 18-ന് റദ്ദാക്കിയതായി കമ്പനി അറിയിച്ചു. 2025 ഏപ്രിലിൽ നടന്ന കീ-നിർമ്മാണ പ്രക്രിയയിലുണ്ടായ നടപടിക്രമങ്ങളിലെ പിഴവാണ് ഈ വീഴ്ചയ്ക്ക് കാരണമെന്ന് കമ്പനി ചൂണ്ടിക്കാട്ടി. ഇതിന്റെ പൂർണ്ണമായ മൂലകാരണം ഇപ്പോഴും അന്വേഷിച്ചുവരികയാണെന്നും കമ്പനി വ്യക്തമാക്കി. ഒരു ഇന്റർമീഡിയറ്റ് കീ ചോരുന്നതും റൂട്ട് കീ ചോരുന്നതും ഒരേ സംഭവമല്ല. എങ്കിലും സുരക്ഷാ മുൻകരുതലെന്ന നിലയിൽ ബ്രൗസർ പ്രോഗ്രാമുകൾക്ക് ഒരു പേരന്റ് റൂട്ടിലുള്ള വിശ്വാസം പിൻവലിക്കാൻ കഴിയും. ആ ശ്രേണിക്ക് കീഴിലുള്ള മറ്റ് സർട്ടിഫിക്കറ്റുകളുടെ സ്വന്തം പ്രൈവറ്റ് കീകൾ ദുർബലമാണെന്ന് തെളിയിക്കപ്പെട്ടിട്ടില്ലെങ്കിൽ പോലും, ആ തീരുമാനം അവയെയും ബാധിച്ചേക്കാം.

ബ്രൗസറിന്റെയും ആപ്ലിക്കേഷന്റെയും അപ്ഡേറ്റുകൾ വ്യത്യസ്തമാകുന്നത് എന്തുകൊണ്ട്

ഒക്ടോബർ 17-ന് ഒരു റവൊക്കേഷൻ അപ്ഡേറ്റിലൂടെ ക്രോം ബാധിക്കപ്പെട്ട പബ്ലിക് കീകൾ ബ്ലോക്ക് ചെയ്തു, അന്നുതന്നെ മോസില്ലയും സ്വന്തം ബ്ലോക്കിംഗ് അപ്ഡേറ്റ് വിതരണം ചെയ്തു. സാധാരണ സുരക്ഷാ അപ്ഡേറ്റുകൾ ലഭിക്കുന്നത് തടയുന്ന തരത്തിൽ സെറ്റിംഗ്സ് ക്രമീകരിച്ചിട്ടുള്ള ഉപയോക്താക്കൾക്കായി മോസില്ല പ്രത്യേക ബ്രൗസർ അപ്ഡേറ്റുകളും പുറത്തിറക്കി. അതിനാൽ ഒരു ക്രെഡൻഷ്യൽ റദ്ദാക്കാൻ സർട്ടിഫിക്കറ്റ് ഇഷ്യൂവറോട് ആവശ്യപ്പെടുന്നതിലുപരിയായ നടപടികൾ ഈ സുരക്ഷാ പ്രക്രിയയിൽ ഉൾപ്പെട്ടിരുന്നു. സോഫ്റ്റ്‌വെയറുകൾ ഈ മാറ്റം സ്വീകരിക്കുകയും നടപ്പിലാക്കുകയും ചെയ്യേണ്ടതുണ്ട്. മറ്റ് ആപ്ലിക്കേഷനുകൾ വിശ്വസനീയമായ സർട്ടിഫിക്കറ്റുകളുടെ സ്വന്തം പട്ടിക സൂക്ഷിക്കുന്നുണ്ടാകാം. ചിലവ ബ്രൗസറിന്റെ അപ്ഡേറ്റ് ലഭിക്കാത്ത ഘടകങ്ങളാണ് ഉപയോഗിക്കുന്നത്. അതിനാൽ സുരക്ഷാ സംവിധാനം എല്ലാ സിസ്റ്റങ്ങളിലും ഒരേ സമയം എത്തുമെന്ന് കരുതാനാവില്ല.

ചോർന്ന ഇന്റർമീഡിയറ്റുകളെ മാത്രം തടയുന്നതിനേക്കാൾ വ്യാപകമായ പ്രത്യാഘാതങ്ങൾ വിശ്വസനീയമായ പട്ടികയിൽ നിന്ന് ഒരു റൂട്ടിനെ നീക്കം ചെയ്യുന്നതിലൂടെ ഉണ്ടാകും. മുമ്പ് സാധുതയുണ്ടായിരുന്ന ഒരു വെബ്സൈറ്റ് സർട്ടിഫിക്കറ്റ് അതോടെ ബാധിക്കപ്പെട്ട സോഫ്റ്റ്‌വെയറുകൾ അംഗീകരിക്കാതെയാകാം. ഇതിന്റെ ഫലമായി വരുന്ന മുന്നറിയിപ്പ് ആ വെബ്സൈറ്റിന്റെ സെർവർ ഹാക്ക് ചെയ്യപ്പെട്ടു എന്ന് സ്വയം തെളിയിക്കുന്നില്ല; മറിച്ച് അതിന്റെ മുൻകാല വിശ്വാസ പാതയ്ക്ക് ഇപ്പോൾ സാധുതയില്ലാതായി എന്നാണ് അർത്ഥമാക്കുന്നത്. വെബ്സൈറ്റ് നടത്തിപ്പുകാർക്ക് ബാധിക്കപ്പെടാത്ത മറ്റൊരു ശ്രേണിയിൽ നിന്ന് പകരം സർട്ടിഫിക്കറ്റ് വാങ്ങേണ്ടി വന്നേക്കാം. ചോർന്ന ഇന്റർമീഡിയറ്റ് ആ ഉപഭോക്താവിന്റെ സർട്ടിഫിക്കറ്റ് നൽകിയിട്ടില്ലെങ്കിൽ പോലും, സുരക്ഷാ നടപടിയുടെ ഭാഗമായി ഉപഭോക്താക്കൾക്ക് മറ്റ് സേവനങ്ങളിലേക്ക് മാറേണ്ടി വരുന്നത് എന്തുകൊണ്ടാണെന്ന് ഇത് വ്യക്തമാക്കുന്നു.

ഒക്ടോബർ 22-ലെ തീരുമാനവും നിലവിലുള്ള ഉപഭോക്താക്കളും

ആഗോള വെബ്സൈറ്റ്-സർട്ടിഫിക്കറ്റ് ബിസിനസ്സിൽ നിന്ന് സ്വമേധയാ പിന്മാറാൻ തങ്ങളുടെ ബോർഡ് തീരുമാനിച്ചതായി ഒക്ടോബർ 22-ന് ഇമുദ്ര അറിയിച്ചു. എല്ലാ സേവനങ്ങളും പെട്ടെന്ന് നിർത്തുന്നതിന് പകരം ഘട്ടംഘട്ടമായുള്ള മാറ്റമായാണ് കമ്പനി ഇതിനെ വിശേഷിപ്പിച്ചത്. ഉപഭോക്താക്കളുമായും ബ്രൗസർ പ്രോഗ്രാമുകളുമായും ചേർന്ന് പ്രവർത്തിക്കുമെന്നും പങ്കാളികൾ വഴി സൗജന്യമായി പകരം സർട്ടിഫിക്കറ്റുകൾ ക്രമീകരിക്കുമെന്നും കമ്പനി വ്യക്തമാക്കി. നിലവിൽ നൽകിയിട്ടുള്ള സർട്ടിഫിക്കറ്റുകളുടെ കാലാവധി കഴിയുന്നതുവരെയോ അവ മാറ്റിസ്ഥാപിക്കുന്നതുവരെയോ റവൊക്കേഷൻ, സ്റ്റാറ്റസ് സേവനങ്ങൾ തുടർന്നും പ്രവർത്തിപ്പിക്കുമെന്ന് കമ്പനി ഉറപ്പുനൽകി. തങ്ങളുടെ ഡോക്യുമെന്റ്-സിഗ്നേച്ചർ, ഇ-സൈൻ, മറ്റ് എന്റർപ്രൈസ് പ്രവർത്തനങ്ങൾ എന്നിവ തുടരുമെന്നും കമ്പനി അറിയിച്ചു. ഇവ കമ്പനി പ്രഖ്യാപിച്ച പരിവർത്തന വാഗ്ദാനങ്ങളാണ്, അല്ലാതെ എല്ലാ ഉപഭോക്താക്കളുടെയും മാറ്റം ഇതിനോടകം പൂർത്തിയായി എന്നതിന്റെ തെളിവല്ല.

ഉപയോക്താക്കളുടെയും അഡ്മിനിസ്ട്രേറ്റർമാരുടെയും പ്രതികരണം ബാധിക്കപ്പെട്ട സിസ്റ്റത്തിന് അനുയോജ്യമായിരിക്കണം. വെണ്ടർമാരുടെ സുരക്ഷാ അപ്ഡേറ്റുകൾ നടപ്പിലാക്കാനും സർട്ടിഫിക്കറ്റ് ആശ്രിതത്വങ്ങൾ പരിശോധിക്കാനും ആവശ്യമുള്ളയിടത്ത് ബാധിക്കപ്പെട്ട ശൃംഖലകൾ മാറ്റാനും CERT-In ശുപാർശ ചെയ്യുന്നു. സർട്ടിഫിക്കറ്റ് മുന്നറിയിപ്പുകൾ മറികടക്കരുതെന്നും പരിശോധനകൾ പ്രവർത്തനരഹിതമാക്കരുതെന്നും ഇത് പ്രത്യേകം ഉപദേശിക്കുന്നു. ഒരു ജീവനക്കാരന്റെ കമ്പ്യൂട്ടറിലെ ബ്രൗസർ മാത്രമല്ല, പ്രത്യേക സർട്ടിഫിക്കറ്റ് ബണ്ടിലുകളുള്ള മറ്റ് ആപ്ലിക്കേഷനുകളും ഒരു സ്ഥാപനം പരിഗണിക്കേണ്ടതുണ്ട്. അതേസമയം, ആഭ്യന്തര ഡോക്യുമെന്റ്-സൈനിംഗ് സംവിധാനത്തിൽ സുരക്ഷാ വീഴ്ച ഉണ്ടായതായി സർക്കാർ കണ്ടെത്തിയിട്ടില്ല. ഒരു കമ്പനിയുടെ പേര് മാത്രം വെച്ച് അപകടസാധ്യത വിലയിരുത്തുന്നതിനേക്കാൾ, യഥാർത്ഥ സേവനത്തെയും വിശ്വാസ ശ്രേണിയെയും തിരിച്ചറിയുന്നതാണ് കൂടുതൽ പ്രയോജനകരം.

ഉപസംഹാരം

വെബ്സൈറ്റ് സുരക്ഷ എന്നത് ഒരു സർട്ടിഫിക്കറ്റിന് പിന്നിലുള്ള ഇഷ്യൂവർമാരുടെയും കീകളുടെയും ഗുണനിലവാരത്തെ ആശ്രയിച്ചിരിക്കുന്നുവെന്ന് ഇമുദ്ര സംഭവം കാണിച്ചുതരുന്നു. അന്വേഷണം, വിശ്വാസം പിൻവലിക്കൽ, സോഫ്റ്റ്‌വെയർ അപ്ഡേറ്റുകൾ, സർട്ടിഫിക്കറ്റ് ശൃംഖല അംഗീകരിക്കപ്പെടാത്തയിടങ്ങളിൽ പുതിയവയിലേക്കുള്ള മാറ്റം എന്നിവ ചേർന്നതാണ് ഇതിനുള്ള പ്രതികരണം. ഇന്ത്യയുടെ ഡോക്യുമെന്റ്-സൈനിംഗ് സേവനങ്ങളുടെ വേർതിരിവും കമ്പനിയുടെ വെബ്സൈറ്റ്-ബിസിനസ്സ് മാറ്റവും ആ ഫലത്തിന്റെ പ്രധാന ഭാഗങ്ങളാണ്. ബാധിക്കപ്പെട്ട വിശ്വാസ പാതകൾ നീക്കം ചെയ്യപ്പെടുന്നുണ്ടോ എന്നതും ഉപഭോക്താക്കൾക്ക് കൃത്യമായി പ്രവർത്തിക്കുന്നതും വിശ്വസനീയവുമായ പകരം സംവിധാനങ്ങൾ ലഭിക്കുന്നുണ്ടോ എന്നതുമാണ് ഇതിലെ പ്രധാന പരീക്ഷണം. കീ നിർമ്മാണത്തിലുണ്ടായ വീഴ്ചയുടെ കാരണവും കണ്ടെത്തേണ്ടതുണ്ട്.