ஏன் செய்திகளில் உள்ளது?
இ-முத்ரா நிறுவனத்துடன் தொடர்புடைய சமரசம் செய்யப்பட்ட இணையதள சான்றிதழ் விசைகள் குறித்து விசாரிக்க இந்திய மின்னணுவியல் மற்றும் தகவல் தொழில்நுட்ப அமைச்சகம் ஒரு குழுவை அமைத்துள்ளது. பெங்களூருவைத் தலைமையிடமாகக் கொண்ட இந்நிறுவனம், இணையதளத்தின் அடையாளத்தை உலாவிகள் சரிபார்க்க உதவும் டிஜிட்டல் சான்றுகளை வழங்குகிறது. எட்டு இடைநிலை சான்றிதழ் வழங்கும் அதிகார சான்றிதழ்களுக்கான பலவீனமான ரகசிய கையொப்ப விசைகள் குறித்து ஒரு ஆய்வாளர் 17 அக்டோபர் 2026 அன்று புகாரளித்தார். இணைய இடைநிலை வழங்குநர்கள் என்பவை நம்பகமான அதிகார அமைப்புகளுக்கும் தனிப்பட்ட இணையதள சான்றிதழ்களுக்கும் இடையிலான நடு இணைப்புகளாகும். ஒரு பயனரின் மென்பொருள் பாதிக்கப்பட்ட சங்கிலியைத் தொடர்ந்து நம்பும் இடங்களில், அவற்றின் சமரசம் செய்யப்பட்ட விசைகள் இணையதள ஆள்மாறாட்டத்திற்கு வழிவகுக்கக்கூடும். உலாவி நிறுவனங்கள் தடுப்பு நடவடிக்கைகளை வெளியிட்டன, அதே நேரத்தில் அரசாங்கத்தின் 21 அக்டோபர் அறிவுறுத்தல் இந்தியாவின் ஒழுங்குபடுத்தப்பட்ட ஆவணக் கையொப்பமிடுதல் மற்றும் இ-சைன் சேவைகள் பாதிக்கப்படவில்லை என்று கூறியது. 22 அக்டோபர் அன்று, இ-முத்ரா தனது உலகளாவிய இணையதள சான்றிதழ் வணிகத்திலிருந்து வெளியேறவும் வாடிக்கையாளர் மாற்றத்தை ஏற்பாடு செய்யவும் முடிவெடுத்துள்ளதாக அறிவித்தது. இந்த நிகழ்வுகள் ஒரு குறிப்பிட்ட நம்பிக்கை உள்கட்டமைப்பு தொடர்பானவையே தவிர, ஒவ்வொரு இ-முத்ரா சேவையும் அல்லது வாடிக்கையாளர் கணக்கும் சமரசம் செய்யப்பட்டது என்பதற்கான ஆதாரம் அல்ல.
ஒரு நிறுவனம், வெவ்வேறு நம்பிக்கை அமைப்புகள்
ஒரு சான்றிதழ் அதிகார அமைப்பு என்பது ஒரு அடையாளத்தை பொது குறியாக்க விசையுடன் இணைக்கும் டிஜிட்டல் சான்றிதழ்களை வழங்குகிறது. இந்நிறுவனத்தின் பணியானது இணையதள பாதுகாப்பு சான்றிதழ்கள் மற்றும் ஆவணக் கையொப்பமிடும் சேவைகள் ஆகியவற்றை உள்ளடக்கியது; இவை வெவ்வேறு நம்பிக்கை மற்றும் ஒழுங்குமுறை அமைப்புகளைக் கொண்டுள்ளன. இந்தியாவில், சான்றிதழ் வழங்கும் அதிகாரிகளின் கட்டுப்பாட்டாளர் சான்றிதழ் வழங்கும் அமைப்புகளுக்கு உரிமம் வழங்குகிறது மற்றும் ஒழுங்குபடுத்தப்பட்ட டிஜிட்டல் கையொப்ப கட்டமைப்பை மேற்பார்வையிடுகிறது. அதன் பட்டியலில் இ-முத்ரா ஒரு அங்கீகரிக்கப்பட்ட இ-சைன் சேவை வழங்குநராகவும் இடம்பெற்றுள்ளது. அந்த உள்நாட்டு கட்டமைப்பிற்குள் பெறப்படும் ஒப்புதல் என்பது, ஒரு உலாவியின் நம்பகமான இணையதள சான்றிதழ் வழங்குநர்களின் பட்டியலில் சேர்க்கப்படுவதற்குச் சமமானதல்ல.
இந்த வேறுபாடுதான் தற்போதைய பயனர்களுக்கு இந்தச் சம்பவம் என்ன உணர்த்துகிறது என்பதைத் தீர்மானிக்கிறது. ஆவணக் கையொப்பமிடும் சேவை ஒரு நபர் அல்லது நிறுவனம் மின்னணு பதிவில் கையொப்பமிட உதவுகிறது. ஒரு இணையதள சான்றிதழ், உலாவி தான் தொடர்பு கொள்ளும் சேவையகத்தை அங்கீகரிக்க உதவுகிறது. CERT-In என அழைக்கப்படும் இந்திய கணினி அவசரகால மீட்புக் குழு, இந்தச் சம்பவம் உலகளாவிய சான்றிதழ்-நம்பிக்கை உள்கட்டமைப்பு தொடர்பானது என்று கூறியது. அதன் அறிவுறுத்தல் இதை இந்தியாவின் ஒழுங்குபடுத்தப்பட்ட டிஜிட்டல் கையொப்ப சான்றிதழ் மற்றும் இ-சைன் சேவைகளிலிருந்து வேறுபடுத்திக் காட்டியது. ஒரே நிறுவனம் இரண்டையும் வழங்குகிறது என்பதால், ஒரே குறியாக்க விசைகள் அல்லது பாதிக்கப்பட்ட படிநிலை அமைப்பே இரண்டு செயல்பாடுகளுக்கும் பயன்படுகிறது என்று அர்த்தமல்ல.
ஒரு இணையதள சான்றிதழ் உண்மையில் எதை நிரூபிக்கிறது
நவீன பாதுகாப்பான இணையதள இணைப்புகள், பயனர் மற்றும் சேவையகத்திற்கு இடையிலான தகவல் தொடர்பைப் பாதுகாக்க போக்குவரத்து அடுக்கு பாதுகாப்பு அல்லது TLS முறையைப் பயன்படுத்துகின்றன. இது ஒட்டுக்கேட்பிற்கு எதிரான குறியாக்கம், கண்டறியப்படாத மாற்றங்களுக்கு எதிரான சரிபார்ப்புகள் மற்றும் சேவையகத்தை அங்கீகரிப்பதற்கான வழியை வழங்குகிறது. ஒரு இணையதளத்தின் சான்றிதழ் அதன் டொமைன் பெயரை ஒரு பொது விசையுடன் பிணைத்து, அந்த அங்கீகாரத்தை ஆதரிக்கிறது. இது அந்த வணிகம் நேர்மையானது என்பதற்கோ அல்லது அதன் பக்கங்களில் உள்ள அனைத்தும் பாதுகாப்பானவை என்பதற்கோ அளிக்கப்படும் உத்தரவாதத்தை விடக் குறுகியதாகும். ஒரு சான்றிதழ் இணைப்பின் பின்னணியில் உள்ள அடையாளத்தை நிறுவ உதவுகிறது; அதன் வழியாக வைக்கப்படும் ஒவ்வொரு உரிமைகோரலையும் அது அங்கீகரிப்பதில்லை.
பொது-விசை குறியாக்கம் கணித ரீதியாகத் தொடர்புடைய ஒரு ஜோடி விசைகளைப் பயன்படுத்துகிறது. தனிப்பட்ட விசை ரகசியமாக இருக்க வேண்டும், அதே நேரத்தில் பொது விசையைப் பகிர்ந்து கொள்ளலாம். கையொப்பமிடும் செயல்பாடு தனிப்பட்ட விசையைப் பயன்படுத்துகிறது; அதன் விளைவாக வரும் கையொப்பத்தைச் சரிபார்க்க மற்றவர்கள் பொது விசையைப் பயன்படுத்தலாம். கிடைக்கக்கூடிய பொதுத் தகவல்களிலிருந்து வெளிநபர்களால் தனிப்பட்ட விசையைக் கண்டுபிடிக்க முடியாமல் இருப்பதைப் பொறுத்தே பாதுகாப்பு அமைகிறது. இணைப்பு அமைப்பின் போது சான்றிதழ்களும் கையொப்பங்களும் அங்கீகாரத்தை ஆதரிக்கின்றன. நவீன TLS இணைப்பின் வழியாகப் பரிமாறப்படும் தரவைப் பாதுகாக்கப் பேச்சுவார்த்தை மூலம் உருவாக்கப்படும் தனி அமர்வு விசைகளுடன் இவற்றைக் குழப்பிக் கொள்ளக் கூடாது.
இடைநிலை வழங்குநர் ஏன் முக்கியமானது
உலாவிகள் பொதுவாக ஒரு நம்பிக்கைச் சங்கிலி மூலமாக இணையதளத்தின் சான்றிதழைச் சரிபார்க்கின்றன. நம்பகமான மூலச் சான்றிதழ் உச்சியில் இருக்கும்; ஒன்று அல்லது அதற்கு மேற்பட்ட இடைநிலை வழங்குநர்கள் அதனை இணையதளத்தின் சொந்தச் சான்றிதழுடன் இணைக்கின்றன. உலாவி கையொப்பங்களையும், பார்வையிடப்படும் தளத்துடன் சான்றிதழ் பொருந்துகிறதா என்பதையும் சரிபார்க்கிறது. எனவே இடைநிலை வழங்குநர் ஒரு முக்கியமான பகிர்ந்தளிக்கப்பட்ட திறனைக் கொண்டுள்ளது: நம்பகமான சங்கிலி வழியாக பிற மென்பொருட்கள் ஏற்றுக்கொள்ளக்கூடிய சான்றிதழ்களில் அது கையொப்பமிட முடியும். அதன் தனிப்பட்ட விசை மீட்டெடுக்கக்கூடியதாக மாறினால், தாக்குதல் நடத்துபவர் உண்மையான இணையதளத்தின் சொந்த தனிப்பட்ட விசை இல்லாமலேயே அந்தத் திறனைத் தவறாகப் பயன்படுத்த முடியும்.
விசை உருவாக்கத்தின் போது போதிய சீரற்ற தன்மை இல்லாததே இ-முத்ரா பலவீனத்திற்குக் காரணம் என்று கூகுள் கூறியது. இது அடிப்படை குறியாக்க வழிமுறையிலேயே உள்ள பாதிப்பை நிறுவவில்லை என்று CERT-In தெளிவுபடுத்தியது. இது பாதுகாப்பான விசைகளை உருவாக்குவதில் ஏற்பட்ட தோல்வியை, குறியாக்க அமைப்பின் பொதுவான கணிதத் தோல்வியிலிருந்து பிரிக்கிறது. ஒரு நீளமான அல்லது முறையாகச் செல்லுபடியாகும் தோற்றமுடைய விசையின் ரகசிய மதிப்பு மிகவும் வரையறுக்கப்பட்ட சாத்தியக்கூறுகளின் தொகுப்பிலிருந்து எடுக்கப்பட்டால் அது போதுமானதாக இருக்காது. விசையைக் காட்டும் சான்றிதழ் சாதாரணமாகத் தெரிகிறதா என்பது மட்டுமல்லாமல், அந்த விசை பாதுகாப்பாக உருவாக்கப்பட்டதா என்பதே இங்கு தொடர்புடைய கேள்வியாகும்.
சாத்தியமான ஆள்மாறாட்டம் என்பது சாத்தியமான ஒவ்வொரு ஊடுருவலுக்குமான ஆதாரமல்ல
பாதிக்கப்பட்ட வழங்குநர்கள் தொடர்ந்து நம்பகமானவையாக இருக்கும்போது, மோசடியான சான்றிதழ்கள் இணையதளங்களைப் போல ஆள்மாறாட்டம் செய்யக்கூடும் என்று மொசில்லா விளக்கியது. தாக்குதல் நடத்துபவர் பயனரின் இணைப்பையும் இடைமறிக்க வேண்டியிருக்கும். இது தரவுப் போக்குவரத்தை வெளிப்படுத்தலாம் அல்லது மாற்றலாம், ஆனால் ஒவ்வொரு இணையதளப் பார்வையாளரும் தாக்கப்பட்டார் என்பதை இது நிறுவாது. மோசடியான குறியீடு-கையொப்ப சான்றிதழ்கள் மென்பொருளை நம்பகமான வெளியீட்டாளரைக் கொண்டிருப்பதைப் போலத் தோன்றச் செய்யலாம் என்றும் CERT-In எச்சரித்தது. இது தனியாக இயக்கப்படும் இந்திய ஆவணக் கையொப்பமிடும் சேவையைச் சமரசம் செய்வதிலிருந்து வேறுபட்டது. பாதிக்கப்பட்ட இடைநிலைச் சான்றிதழ்கள் வாடிக்கையாளர் சான்றிதழ்களை வழங்கவில்லை என்றும், முந்தைய தவறான பயன்பாடு எதுவும் தனக்குத் தெரியாது என்றும் நிறுவனம் கூறியது. தனது உள்கட்டமைப்பில் ஊடுருவல் ஏதும் நடக்கவில்லை என்றும் அது கூறியது. இவை விசாரணைக் கூற்றுகளே தவிர, உலகளாவிய பாதுகாப்பு உத்தரவாதமோ அல்லது பெருமளவிலான தரவுத் திருட்டுக்கான ஆதாரமோ அல்ல.
பாதிக்கப்பட்ட எட்டு இடைநிலைச் சான்றிதழ்களையும் 18 அக்டோபர் அன்று ரத்து செய்துவிட்டதாக நிறுவனம் கூறியது. ஏப்ரல் 2025 விசை உருவாக்கப் பயிற்சியின் போது ஏற்பட்ட நடைமுறைக் குறைபாட்டுடன் இந்தப் பலவீனத்தை அது தொடர்புபடுத்தியது. முழுமையான மூலக் காரணம் இன்னும் விசாரிக்கப்பட்டு வருவதாக அது கூறியது. சமரசம் செய்யப்பட்ட இடைநிலை விசையும் சமரசம் செய்யப்பட்ட மூல விசையும் ஒரே நிகழ்வு அல்ல. ஆயினும்கூட, உலாவி நிரல்கள் பாதுகாப்பு நடவடிக்கையாக தாய் மூலச் சான்றிதழிலிருந்து நம்பிக்கையைத் திரும்பப் பெறலாம். அந்தப் படிநிலையின் கீழ் உள்ள பிற சான்றிதழ்களின் சொந்த தனிப்பட்ட விசைகள் பலவீனமானவை என்று காட்டப்படாதபோதும், அந்த முடிவு அவற்றைப் பாதிக்கலாம்.
உலாவி மற்றும் பயன்பாட்டுப் புதுப்பிப்புகள் ஏன் வேறுபடுகின்றன
குரோம் 17 அக்டோபர் அன்று ரத்து செய்யும் புதுப்பிப்பு மூலம் பாதிக்கப்பட்ட பொது விசைகளைத் தடுத்தது, மேலும் மொசில்லா அன்றே தனது சொந்தத் தடுப்புப் புதுப்பிப்பை விநியோகித்தது. சாதாரணப் பாதுகாப்பு வந்து சேர்வதைத் தடுக்கக்கூடிய அமைப்புகளைக் கொண்ட பயனர்களுக்காக மொசில்லா உலாவிப் புதுப்பிப்புகளையும் வெளியிட்டது. எனவே பாதுகாப்புச் செயல்பாட்டில் சான்றிதழ் வழங்குநரிடம் சான்றிதழை ரத்து செய்யச் சொல்வதை விடக் கூடுதலான விஷயங்கள் அடங்கியிருந்தன. மென்பொருள் அந்த மாற்றத்தைப் பெற்று நடைமுறைப்படுத்த வேண்டும். பிற பயன்பாடுகள் தங்களது சொந்த நம்பகமான சான்றிதழ் பட்டியல்களைப் பராமரிக்கலாம். சில பயன்பாடுகள் உலாவியின் புதுப்பிப்பைப் பெறாத கூறுகளைப் பயன்படுத்துகின்றன. எனவே பாதுகாப்பு ஒரே நேரத்தில் ஒவ்வொரு அமைப்பையும் சென்றடையும் என்று கருத முடியாது.
நம்பகமான பட்டியலிலிருந்து ஒரு மூலச் சான்றிதழை அகற்றுவது, சமரசம் செய்யப்பட்ட இடைநிலைகளை மட்டுமே தடுப்பதை விடப் பரந்த இணக்கத்தன்மை விளைவைக் கொண்டுள்ளது. முன்பு சட்டப்பூர்வமாக இருந்த இணையதள சான்றிதழ், பாதிக்கப்பட்ட மென்பொருளால் ஏற்றுக்கொள்ளப்படாமல் போகலாம். அதன் விளைவாக வரும் எச்சரிக்கை மட்டுமே இணையதளத்தின் சேவையகம் ஊடுருவப்பட்டது என்பதை நிரூபிக்காது; அதன் முந்தைய நம்பிக்கைப் பாதை இனி செல்லுபடியாகாமல் இருக்கலாம். இயக்குபவருக்குப் பாதிக்கப்படாத படிநிலையிலிருந்து மாற்றுச் சான்றிதழ் தேவைப்படலாம். சமரசம் செய்யப்பட்ட இடைநிலைச் சான்றிதழ் அந்த வாடிக்கையாளரின் சான்றிதழை வழங்கியிருக்காதபோதும், ஒரு பாதுகாப்பு நடவடிக்கைக்கு ஏன் வாடிக்கையாளர் இடமாற்றம் தேவைப்படலாம் என்பதை இது விளக்குகிறது.
22 அக்டோபர் முடிவும் தற்போதைய வாடிக்கையாளர்களும்
22 அக்டோபர் அன்று, உலகளாவிய இணையதள சான்றிதழ் வணிகத்திலிருந்து தாமாக முன்வந்து வெளியேறத் தனது நிர்வாகக் குழு முடிவு செய்துள்ளதாக இ-முத்ரா கூறியது. இது ஒவ்வொரு சேவையையும் உடனடியாக நிறுத்துவதற்குப் பதிலாக ஒரு மாற்றம் என்று விவரித்தது. வாடிக்கையாளர்கள் மற்றும் உலாவி நிரல்களுடன் இணைந்து பணியாற்றப் போவதாகவும், கூட்டாளர்கள் மூலம் கட்டணமின்றி மாற்றுச் சான்றிதழ்களை ஏற்பாடு செய்யப் போவதாகவும் நிறுவனம் கூறியது. வழங்கப்பட்ட சான்றிதழ்கள் காலாவதியாகும் வரை அல்லது மாற்றப்படும் வரை ரத்து செய்தல் மற்றும் நிலை அறிதல் சேவைகளைத் தொடர்ந்து நடத்துவதாகவும் அது உறுதியளித்தது. தனது ஆவணக் கையொப்பம், இ-சைன் மற்றும் பிற நிறுவனச் செயல்பாடுகள் தொடரும் என்றும் அது கூறியது. இவை அறிவிக்கப்பட்ட மாற்றத்திற்கான உறுதிமொழிகளே தவிர, ஒவ்வொரு வாடிக்கையாளர் இடமாற்றமும் ஏற்கனவே நிறைவடைந்துவிட்டது என்பதற்கான ஆதாரமல்ல.
பயனர்கள் மற்றும் நிர்வாகிகளைப் பொறுத்தவரை, எதிர்வினை பாதிக்கப்பட்ட அமைப்பிற்கு ஏற்ப இருக்க வேண்டும். விற்பனையாளர்களின் பாதுகாப்புப் புதுப்பிப்புகளைப் பயன்படுத்துதல், சான்றிதழ் சார்புகளைச் சரிபார்த்தல் மற்றும் தேவைப்படும் இடங்களில் பாதிக்கப்பட்ட சங்கிலிகளை மாற்றுதல் ஆகியவற்றை CERT-In பரிந்துரைக்கிறது. சான்றிதழ் எச்சரிக்கைகளைப் புறக்கணிப்பதற்கோ அல்லது சரிபார்ப்பை முடக்குவதற்கோ எதிராக அது குறிப்பாக அறிவுறுத்துகிறது. ஒரு நிறுவனம் ஊழியரின் கணினியில் உள்ள உலாவியை மட்டுமல்லாமல், தனிச் சான்றிதழ் தொகுப்புகளைக் கொண்ட பயன்பாடுகளையும் கருத்தில் கொள்ள வேண்டும். இதற்கிடையில், உள்நாட்டு ஆவணக் கையொப்பமிடும் அமைப்பு சமரசம் செய்யப்பட்டதாக அரசாங்கம் அடையாளம் காணவில்லை. நிறுவனம் முழுவதற்குமான பெயர் மட்டுமே பாதிப்பைத் தீர்மானிக்கிறது என்று கருதுவதை விட, உண்மையான சேவை மற்றும் நம்பிக்கைப் படிநிலையை அடையாளம் காண்பது மிகவும் பயனுள்ளதாகும்.
முடிவுரை
இணையதளப் பாதுகாப்பு என்பது ஒரு சான்றிதழின் பின்னணியில் உள்ள வழங்குநர்கள் மற்றும் விசைகளின் தரத்தை ஏன் சார்ந்துள்ளது என்பதை இ-முத்ரா சம்பவம் காட்டுகிறது. இந்த எதிர்வினையானது விசாரணை, நம்பிக்கையைத் திரும்பப் பெறுதல், மென்பொருள் புதுப்பிப்புகள் மற்றும் சான்றிதழின் சங்கிலி ஏற்றுக்கொள்ளப்படாத இடங்களில் இடமாற்றம் ஆகியவற்றை உள்ளடக்கியது. இந்தியாவின் ஆவணக் கையொப்பமிடும் வேறுபாடும் நிறுவனத்தின் இணையதள வணிக மாற்றமும் அந்த முடிவின் முக்கியப் பகுதிகளாகும். பாதிக்கப்பட்ட நம்பிக்கைப் பாதைகள் அகற்றப்பட்டு, வாடிக்கையாளர்கள் செயல்படக்கூடிய, தகுந்த நம்பிக்கையுடைய மாற்றுகளைப் பெறுகிறார்களா என்பதே முக்கிய சோதனையாகும். விசை உருவாக்கத் தோல்விக்கான காரணமும் கண்டறியப்பட வேண்டியுள்ளது.