వార్తలలో ఎందుకు ఉంది?
ఈముద్రతో ముడిపడి ఉన్న రాజీపడిన వెబ్‌సైట్-సర్టిఫికేట్ కీలపై దర్యాప్తు చేసేందుకు భారత ఎలక్ట్రానిక్స్ మరియు ఇన్ఫర్మేషన్ టెక్నాలజీ మంత్రిత్వ శాఖ ఒక బృందాన్ని ఏర్పాటు చేసింది. బెంగళూరుకు చెందిన ఈ సంస్థ వెబ్‌సైట్ గుర్తింపును ధృవీకరించడంలో బ్రౌజర్‌లకు సహాయపడే డిజిటల్ ధృవీకరణ పత్రాలను జారీ చేస్తుంది. 17 అక్టోబర్ 2026న ఒక పరిశోధకుడు ఎనిమిది ఇంటర్మీడియట్ జారీ-అథారిటీ సర్టిఫికేట్ల కోసం బలహీనమైన రహస్య సంతకం కీలను నివేదించారు. వెబ్ ఇంటర్మీడియట్ జారీదారులు అనేవి విశ్వసనీయ అథారిటీలు మరియు వ్యక్తిగత వెబ్‌సైట్ సర్టిఫికేట్ల మధ్య మధ్యస్థ లింకులుగా ఉంటాయి. వినియోగదారుడి సాఫ్ట్‌వేర్ ప్రభావిత గొలుసును ఇంకా విశ్వసిస్తున్న చోట, రాజీపడిన వాటి కీలు వెబ్‌సైట్ నకిలీకి (ఇంపర్సనేషన్‌కు) వీలు కల్పించగలవు. బ్రౌజర్ విక్రేతలు బ్లాకింగ్ చర్యలను జారీ చేయగా, భారతదేశ నియంత్రిత డాక్యుమెంట్-సంతకం మరియు ఈ-సైన్ సేవలు ప్రభావితం కాలేదని 21 అక్టోబర్ ప్రభుత్వ సలహా పేర్కొంది. 22 అక్టోబర్‌న, ఈముద్ర తన గ్లోబల్ వెబ్‌సైట్-సర్టిఫికేట్ వ్యాపారం నుండి వైదొలగాలని మరియు వినియోగదారుల పరివర్తనను ఏర్పాటు చేయాలని నిర్ణయించినట్లు ప్రకటించింది. ఈ పరిణామాలు ఒక నిర్దిష్ట విశ్వాస మౌలిక సదుపాయానికి సంబంధించినవే తప్ప, ప్రతి ఈముద్ర సేవ లేదా కస్టమర్ ఖాతా రాజీపడిందనే రుజువు కాదు.
ఒకే సంస్థ, విభిన్న విశ్వాస వ్యవస్థలు
ఒక సర్టిఫికేట్ అథారిటీ ఒక గుర్తింపును పబ్లిక్ క్రిప్టోగ్రాఫిక్ కీకి అనుసంధానించే డిజిటల్ సర్టిఫికేట్లను జారీ చేస్తుంది. ఈ సంస్థ పని వెబ్‌సైట్-భద్రతా సర్టిఫికేట్లు మరియు డాక్యుమెంట్-సంతకం సేవల వరకు విస్తరించి ఉంది, ఇవి విభిన్న విశ్వాస మరియు నియంత్రణ ఏర్పాట్లను కలిగి ఉంటాయి. భారతదేశంలో, కంట్రోలర్ ఆఫ్ సర్టిఫైయింగ్ అథారిటీస్ సర్టిఫైయింగ్ అథారిటీలకు లైసెన్స్ ఇస్తుంది మరియు నియంత్రిత డిజిటల్-సంతకం ఫ్రేమ్‌వర్క్‌ను పర్యవేక్షిస్తుంది. దీని జాబితాలో ఎంపానెల్ చేయబడిన ఈ-సైన్ సర్వీస్ ప్రొవైడర్‌గా ఈముద్ర కూడా ఉంది. ఆ దేశీయ ఫ్రేమ్‌వర్క్‌లో ఆమోదం పొందడం అనేది విశ్వసనీయ వెబ్‌సైట్-సర్టిఫికేట్ జారీదారుల బ్రౌజర్ జాబితాలో చేర్చడంతో సమానం కాదు.
ఈ వ్యత్యాసం ప్రస్తుత వినియోగదారులకు ఈ సంఘటన అర్థం ఏమిటో నిర్ణయిస్తుంది. ఒక డాక్యుమెంట్-సంతకం సేవ ఒక వ్యక్తి లేదా సంస్థ ఎలక్ట్రానిక్ రికార్డుపై సంతకం చేయడానికి సహాయపడుతుంది. ఒక వెబ్‌సైట్ సర్టిఫికేట్ బ్రౌజర్ తాను కమ్యూనికేట్ చేస్తున్న సర్వర్‌ను ప్రామాణీకరించడానికి సహాయపడుతుంది. CERT-In అని పిలువబడే ఇండియన్ కంప్యూటర్ ఎమర్జెన్సీ రెస్పాన్స్ టీమ్, ఈ సంఘటన గ్లోబల్ సర్టిఫికేట్-ట్రస్ట్ మౌలిక సదుపాయాలకు సంబంధించినదని పేర్కొంది. దీని సలహా భారతదేశ నియంత్రిత డిజిటల్-సంతకం సర్టిఫికేట్ మరియు ఈ-సైన్ సేవల నుండి దీనిని వేరు చేసింది. ఒకే సంస్థ రెండింటినీ అందిస్తున్నప్పటికీ, ఒకే క్రిప్టోగ్రాఫిక్ కీలు లేదా ప్రభావిత శ్రేణి రెండు విధులకూ పనిచేస్తుందని అర్థం కాదు.
వెబ్‌సైట్ సర్టిఫికేట్ వాస్తవానికి ఏమి నిరూపిస్తుంది
ఆధునిక సురక్షిత వెబ్‌సైట్ కనెక్షన్లు క్లయింట్ మరియు సర్వర్ మధ్య కమ్యూనికేషన్‌ను రక్షించడానికి ట్రాన్స్‌పోర్ట్ లేయర్ సెక్యూరిటీ లేదా TLSను ఉపయోగిస్తాయి. ఇది రహస్యంగా వినడాన్ని నిరోధించే ఎన్‌క్రిప్షన్‌ను, గుర్తించబడని మార్పులకు వ్యతిరేకంగా తనిఖీలను మరియు సర్వర్‌ను ప్రామాణీకరించే మార్గాన్ని అందిస్తుంది. ఒక వెబ్‌సైట్ సర్టిఫికేట్ దాని డొమైన్ పేరును పబ్లిక్ కీకి బంధిస్తుంది, తద్వారా ఆ ప్రామాణీకరణకు మద్దతు ఇస్తుంది. ఆ వ్యాపారం నిజాయితీగా ఉందనే లేదా దాని పేజీలలోని ప్రతిదీ సురక్షితమనే హామీ కంటే ఇది పరిమితమైనది. సర్టిఫికేట్ కనెక్షన్ వెనుక ఉన్న గుర్తింపును నిర్ధారించడంలో సహాయపడుతుంది; దాని ద్వారా చేసే ప్రతి వాదనను ఇది ఆమోదించదు.
పబ్లిక్-కీ క్రిప్టోగ్రఫీ గణితశాస్త్రపరంగా సంబంధం ఉన్న ఒక జత కీలను ఉపయోగిస్తుంది. ప్రైవేట్ కీ రహస్యంగా ఉండాలి, అయితే పబ్లిక్ కీని పంచుకోవచ్చు. సంతకం చేసే ప్రక్రియ ప్రైవేట్ కీని ఉపయోగిస్తుంది; ఇతరులు ఫలిత సంతకాన్ని తనిఖీ చేయడానికి పబ్లిక్ కీని ఉపయోగించవచ్చు. అందుబాటులో ఉన్న పబ్లిక్ సమాచారం నుండి బయటి వ్యక్తులు ప్రైవేట్ కీని కనుగొనలేకపోవడంపై ఈ భద్రత ఆధారపడి ఉంటుంది. కనెక్షన్ సెటప్ సమయంలో సర్టిఫికేట్లు మరియు సంతకాలు ప్రామాణీకరణకు మద్దతు ఇస్తాయి. ఆధునిక TLS కనెక్షన్ ద్వారా మార్పిడి చేయబడిన డేటాను రక్షించడానికి చర్చల ద్వారా ఏర్పరచుకునే ప్రత్యేక సెషన్ కీలతో వీటిని ముడిపెట్టి గందరగోళపడకూడదు.
ఇంటర్మీడియట్ జారీదారు ఎందుకు ముఖ్యం
బ్రౌజర్‌లు సాధారణంగా విశ్వాస గొలుసు (chain of trust) ద్వారా వెబ్‌సైట్ సర్టిఫికేట్‌ను ధృవీకరిస్తాయి. విశ్వసనీయ రూట్ అగ్రభాగంలో ఉంటుంది; ఒకటి లేదా అంతకంటే ఎక్కువ ఇంటర్మీడియట్ జారీదారులు దానిని వెబ్‌సైట్ స్వంత సర్టిఫికేట్‌కు కలుపుతాయి. బ్రౌజర్ సంతకాలను మరియు సర్టిఫికేట్ సందర్శిస్తున్న సైట్‌తో సరిపోలుతుందో లేదో తనిఖీ చేస్తుంది. అందువల్ల ఇంటర్మీడియట్ ఒక ముఖ్యమైన అప్పగించబడిన సామర్థ్యాన్ని కలిగి ఉంటుంది: ఇది విశ్వసనీయ గొలుసు ద్వారా ఇతర సాఫ్ట్‌వేర్ ఆమోదించగల సర్టిఫికేట్లపై సంతకం చేయగలదు. ఒకవేళ దాని ప్రైవేట్ కీని తిరిగి పొందగలిగితే, దాడి చేసే వ్యక్తి చట్టబద్ధమైన వెబ్‌సైట్ స్వంత ప్రైవేట్ కీ అవసరం లేకుండానే ఆ సామర్థ్యాన్ని దుర్వినియోగం చేయవచ్చు.
కీ జనరేషన్ సమయంలో తగినంత యాదృచ్ఛికత (రాండమ్‌నెస్) లేకపోవడమే ఈముద్ర బలహీనతకు కారణమని గూగుల్ పేర్కొంది. ఇది అంతర్లీనంగా ఉన్న క్రిప్టోగ్రాఫిక్ అల్గారిథమ్‌లోనే లోపాన్ని నిర్ధారించలేదని CERT-In స్పష్టం చేసింది. ఇది ఎన్‌క్రిప్షన్ వ్యవస్థ యొక్క సాధారణ గణిత ఓటమి నుండి సురక్షిత కీలను సృష్టించడంలో జరిగిన వైఫల్యాన్ని వేరు చేస్తుంది. ఒక కీ రహస్య విలువ అత్యంత పరిమిత అవకాశాల సమితి నుండి తీసుకోబడితే, ఆ కీ పొడవుగా ఉండటం లేదా అధికారికంగా చెల్లుబాటు అయ్యేదిగా కనిపించడం సరిపోదు. ఇక్కడ సంబంధిత ప్రశ్న ఏమిటంటే ఆ కీ సురక్షితంగా రూపొందించబడిందా అనేది మాత్రమే కానీ, దానిని ప్రదర్శించే సర్టిఫికేట్ సాధారణంగా కనిపిస్తుందా అనేది కాదు.
సంభావ్య నకిలీ అనేది ప్రతి సాధ్యమైన ఉల్లంఘనకు రుజువు కాదు
ప్రభావిత జారీదారులు విశ్వసనీయంగా ఉన్న సమయంలో మోసపూరిత సర్టిఫికేట్లు వెబ్‌సైట్‌లను నకిలీ చేయగలవని మొజిల్లా వివరించింది. దాడి చేసే వ్యక్తి వినియోగదారుడి కనెక్షన్‌ను కూడా అడ్డుకోవాల్సి ఉంటుంది. ఇది ట్రాఫిక్‌ను బహిర్గతం చేయవచ్చు లేదా మార్చవచ్చు, కానీ ప్రతి వెబ్‌సైట్ సందర్శకుడిపై దాడి జరిగిందని ఇది నిర్ధారించదు. మోసపూరిత కోడ్-సైనింగ్ సర్టిఫికేట్లు సాఫ్ట్‌వేర్‌కు విశ్వసనీయ ప్రచురణకర్త ఉన్నట్లు కనిపించేలా చేయగలవని కూడా CERT-In హెచ్చరించింది. విడిగా నిర్వహించబడే భారతీయ డాక్యుమెంట్-సంతకం సేవ రాజీపడటం కంటే ఇది భిన్నమైనది. ప్రభావిత ఇంటర్మీడియట్‌లు కస్టమర్ సర్టిఫికేట్లను జారీ చేయలేదని మరియు అంతకుముందు ఎటువంటి దుర్వినియోగం జరిగినట్లు తనకు తెలియదని ఆ సంస్థ తెలిపింది. తమ మౌలిక సదుపాయాలు ఉల్లంఘనకు గురికాలేదని కూడా పేర్కొంది. ఇవి దర్యాప్తు వాదనలు మాత్రమే, అంతేకానీ సార్వత్రిక భద్రతా హామీ లేదా భారీ డేటా చోరీకి రుజువు కాదు.
18 అక్టోబర్‌న మొత్తం ఎనిమిది ప్రభావిత ఇంటర్మీడియట్ సర్టిఫికేట్లను రద్దు చేసినట్లు ఆ సంస్థ తెలిపింది. ఏప్రిల్ 2025 కీ-జనరేషన్ ప్రక్రియలో జరిగిన విధానపరమైన లోపంతో ఈ బలహీనతకు సంబంధం ఉందని పేర్కొంది. పూర్తి మూల కారణంపై ఇంకా దర్యాప్తు జరుగుతోందని తెలిపింది. రాజీపడిన ఇంటర్మీడియట్ కీ మరియు రాజీపడిన రూట్ కీ ఒకే సంఘటన కాదు. అయినప్పటికీ బ్రౌజర్ ప్రోగ్రామ్‌లు రక్షణాత్మక ప్రతిస్పందనగా పేరెంట్ రూట్ నుండి విశ్వాసాన్ని ఉపసంహరించుకోవచ్చు. ఆ నిర్ణయం తమ స్వంత ప్రైవేట్ కీలు బలహీనంగా ఉన్నట్లు కనిపించనిప్పటికీ ఆ శ్రేణి క్రింద ఉన్న ఇతర సర్టిఫికేట్లను ప్రభావితం చేయగలదు.
బ్రౌజర్ మరియు అప్లికేషన్ అప్‌డేట్‌లు ఎందుకు భిన్నంగా ఉంటాయి
క్రోమ్ 17 అక్టోబర్‌న రద్దు అప్‌డేట్ ద్వారా ప్రభావిత పబ్లిక్ కీలను బ్లాక్ చేసింది మరియు మొజిల్లా అదే రోజు తన స్వంత బ్లాకింగ్ అప్‌డేట్‌ను పంపిణీ చేసింది. సాధారణ రక్షణ చేరకుండా సెట్టింగ్‌లు నిరోధించే అవకాశం ఉన్న వినియోగదారుల కోసం మొజిల్లా బ్రౌజర్ అప్‌డేట్‌లను కూడా జారీ చేసింది. అందువల్ల రక్షణాత్మక ప్రక్రియలో సర్టిఫికేట్ జారీదారుని ధృవీకరణ పత్రాన్ని రద్దు చేయమని చెప్పడం కంటే ఎక్కువ అంశాలు ఉన్నాయి. సాఫ్ట్‌వేర్ ఆ మార్పును స్వీకరించి అమలు చేయాలి. ఇతర అప్లికేషన్లు తమ స్వంత విశ్వసనీయ-సర్టిఫికేట్ జాబితాలను నిర్వహించవచ్చు. కొన్ని బ్రౌజర్ అప్‌డేట్‌ను స్వీకరించని భాగాలను ఉపయోగిస్తాయి. కాబట్టి రక్షణ ప్రతి సిస్టమ్‌కు ఒకేసారి చేరుతుందని భావించలేము.
రాజీపడిన ఇంటర్మీడియట్‌లను మాత్రమే బ్లాక్ చేయడం కంటే విశ్వసనీయ జాబితా నుండి రూట్‌ను తొలగించడం విస్తృత అనుకూలత పరిణామాన్ని కలిగి ఉంటుంది. అప్పుడు గతంలో చట్టబద్ధమైన వెబ్‌సైట్ సర్టిఫికేట్ ప్రభావిత సాఫ్ట్‌వేర్ ద్వారా ఆమోదించబడటం ఆగిపోవచ్చు. ఫలితంగా వచ్చే హెచ్చరిక దానంతట అదే వెబ్‌సైట్ సర్వర్ హ్యాక్ చేయబడిందని నిరూపించదు; దాని మునుపటి విశ్వాస మార్గం ఇకపై చెల్లుబాటు కాకపోవచ్చు. ఆపరేటర్‌కు ప్రభావితం కాని శ్రేణి నుండి ప్రత్యామ్నాయ సర్టిఫికేట్ అవసరం కావచ్చు. రాజీపడిన ఇంటర్మీడియట్ స్వయంగా ఆ కస్టమర్ సర్టిఫికేట్‌ను జారీ చేయనప్పటికీ, రక్షణాత్మక చర్యకు కస్టమర్ మైగ్రేషన్ ఎందుకు అవసరమవుతుందో ఇది వివరిస్తుంది.
అక్టోబర్ 22 నిర్ణయం మరియు ప్రస్తుత వినియోగదారులు
22 అక్టోబర్‌న, గ్లోబల్ వెబ్‌సైట్-సర్టిఫికేట్ వ్యాపారం నుండి స్వచ్ఛందంగా వైదొలగాలని తన బోర్డు నిర్ణయించినట్లు ఈముద్ర తెలిపింది. ఇది ప్రతి సేవను తక్షణమే మూసివేయడం కాకుండా ఒక పరివర్తనగా అభివర్ణించింది. తాము వినియోగదారులు మరియు బ్రౌజర్ ప్రోగ్రామ్‌లతో కలిసి పనిచేస్తామని మరియు ఎటువంటి రుసుము లేకుండా భాగస్వాముల ద్వారా ప్రత్యామ్నాయ సర్టిఫికేట్లను ఏర్పాటు చేస్తామని సంస్థ తెలిపింది. జారీ చేసిన సర్టిఫికేట్ల గడువు ముగిసే వరకు లేదా భర్తీ చేయబడే వరకు రద్దు మరియు స్టేటస్ సేవలను నిర్వహించడానికి కూడా కట్టుబడి ఉంది. తన డాక్యుమెంట్-సంతకం, ఈ-సైన్ మరియు ఇతర ఎంటర్‌ప్రైజ్ కార్యకలాపాలు కొనసాగుతాయని పేర్కొంది. ఇవి ప్రకటించిన పరివర్తన హామీలు మాత్రమే, అంతేకానీ ప్రతి కస్టమర్ మైగ్రేషన్ ఇప్పటికే పూర్తయిందనే రుజువు కాదు.
వినియోగదారులు మరియు నిర్వాహకుల కోసం, ప్రతిస్పందన ప్రభావిత వ్యవస్థకు అనుగుణంగా ఉండాలి. విక్రేతల భద్రతా అప్‌డేట్‌లను వర్తింపజేయాలని, సర్టిఫికేట్ ఆధారపడటాలను తనిఖీ చేయాలని మరియు అవసరమైన చోట ప్రభావిత గొలుసులను భర్తీ చేయాలని CERT-In సిఫార్సు చేస్తోంది. సర్టిఫికేట్ హెచ్చరికలను దాటవేయవద్దని లేదా ధృవీకరణను నిలిపివేయవద్దని ఇది ప్రత్యేకంగా సలహా ఇస్తుంది. ఒక సంస్థ ఉద్యోగి కంప్యూటర్‌లోని బ్రౌజర్‌ను మాత్రమే కాకుండా ప్రత్యేక సర్టిఫికేట్ బండిల్స్ ఉన్న అప్లికేషన్లను కూడా పరిగణనలోకి తీసుకోవాలి. ఇంతలో, దేశీయ డాక్యుమెంట్-సంతకం వ్యవస్థ రాజీపడినట్లు ప్రభుత్వం గుర్తించలేదు. కేవలం సంస్థ పేరు మాత్రమే ప్రమాదాన్ని నిర్ణయిస్తుందని భావించడం కంటే వాస్తవ సేవ మరియు విశ్వాస శ్రేణిని గుర్తించడం మరింత ఉపయోగకరంగా ఉంటుంది.
ముగింపు
వెబ్‌సైట్ భద్రత అనేది సర్టిఫికేట్ వెనుక ఉన్న జారీదారులు మరియు కీల నాణ్యతపై ఎందుకు ఆధారపడి ఉంటుందో ఈముద్ర సంఘటన చూపిస్తుంది. ఈ ప్రతిస్పందనలో దర్యాప్తు, విశ్వాస ఉపసంహరణ, సాఫ్ట్‌వేర్ అప్‌డేట్‌లు మరియు సర్టిఫికేట్ గొలుసు ఇకపై ఆమోదించబడని చోట మైగ్రేషన్ కలగలిసి ఉన్నాయి. భారతదేశ డాక్యుమెంట్-సంతకం వ్యత్యాసం మరియు సంస్థ యొక్క వెబ్‌సైట్-వ్యాపార పరివర్తన ఆ ఫలితంలో ముఖ్యమైన భాగాలు. ప్రభావిత విశ్వాస మార్గాలు తొలగించబడ్డాయా మరియు వినియోగదారులకు పనిచేసే, తగిన విధంగా విశ్వసనీయమైన ప్రత్యామ్నాయాలు లభిస్తున్నాయా అనేదే అసలైన పరీక్ష. కీ-జనరేషన్ వైఫల్యానికి గల కారణాన్ని కూడా నిర్ధారించాల్సి ఉంది.