Tach – eMudhra के 8 डिजिटल सर्टिफिकेट्स से छेड़छाड़, कमजोर कोड से प्राइवेट ‘की’ हुई लीक

नई दिल्‍ली. देश की प्रमुख सर्टिफिकेशन अथॉरिटी ई-मुद्रा (eMudhra) के आठ अहम इंटरमीडिएट सर्टिफिकेट्स की प्राइवेट क्रिप्टोग्राफिक ‘की’ (Private Keys) में सेंधमारी हो गई है. भारत सरकार की साइबर सुरक्षा एजेंसी भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने 21 अक्टूबर 2026 को इस संबंध में एक एडवाइजरी जारी की है. इस तकनीकी चूक की मुख्य जड़ कमजोर कोडिंग यानी कमजोर क्रिप्टोग्राफिक रैंडमनेस रही, जिसकी वजह से बेहद गोपनीय डिजिटल चाबियां लीक होकर असुरक्षित हो गईं.

लीक हुई चाबियों में छह टीएलएस (TLS) सर्टिफिकेट और दो कोड-साइनिंग सर्टिफिकेट शामिल थे. आम भाषा में समझें तो ये डिजिटल चाबियां इंटरनेट पर किसी भी वेबसाइट या सॉफ्टवेयर के असली होने का कानूनी सबूत होती हैं. यदि ये गलत हाथों में चली जातीं, तो साइबर हमलावर किसी भी बैंक, सरकारी पोर्टल या कंपनी के नाम से हूबहू नकली डिजिटल सर्टिफिकेट बना सकते थे. इससे असली दिखने वाली फर्जी वेबसाइटें तैयार कर इंटरनेट यूजर्स की संवेदनशील लॉगिन डिटेल्स और वित्तीय डेटा को चुटकी में उड़ाया जा सकता था.

क्या करता है eMudhra और क्यों अहम है इसका रोल?

eMudhra भारत में डिजिटल पहचान और इंटरनेट सुरक्षा की रीढ़ मानी जाने वाली एक लाइसेंस प्राप्त सर्टिफाइंग अथॉरिटी है. इनकम टैक्स रिटर्न, सरकारी ई-टेंडर या कॉर्पोरेट डॉक्यूमेंट्स पर साइन करते हैं, तो वहां eMudhra के डिजिटल सिग्नेचर सर्टिफिकेट (DSC) और eSign का ही इस्तेमाल होता है. इसके अलावा, वेबसाइटों और इंटरनेट सर्वरों के बीच भेजे जाने वाले डेटा को सुरक्षित रखने वाले एसएसएल/टीएलएस (SSL/TLS) सर्टिफिकेट जारी करने में भी इसकी भूमिका बेहद निर्णायक होती है.

एंड-यूजर पर सीधा हमला नहीं

इतने बड़े खतरे के बीच गनीमत यह रही कि यह सुरक्षा चूक समय रहते पकड़ में आ गई. CERT-In के अनुसार, eMudhra ने स्पष्ट किया है कि प्रभावित इंटरमीडिएट सर्टिफिकेट्स से आम ग्राहकों या यूजर्स के लिए कोई भी एंड-यूजर सर्टिफिकेट जारी नहीं किया गया था. गूगल ने भी इस बात की पुष्टि की है कि इन छह टीएलएस सर्टिफिकेट्स को ब्लॉक करने से पहले तक इनका कोई दुरुपयोग या संदिग्ध रिकॉर्ड सामने नहीं आया था.

Google और Mozilla का बड़ा एक्शन

मामले की गंभीरता को देखते हुए वैश्विक टेक कंपनियों ने तुरंत कड़े एक्शन लिए हैं. मोजिला ने प्रभावित टीएलएस सर्टिफिकेट्स को ब्लॉक करते हुए फायरफॉक्स ब्राउज़र के लिए नए सुरक्षा अपडेट जारी कर दिए हैं. वहीं, गूगल ने क्रोम ब्राउज़र में कड़े सुरक्षा फिल्टर लागू किए हैं और eMudhra के ’emSign ECC Root CA – G3′ रूट सर्टिफिकेट को अपने रूट स्टोर से बाहर करने की प्रक्रिया शुरू कर दी है.

आम यूजर और कंपनियां क्या करें?

साइबर खतरे से निपटने के लिए सरकारी एजेंसी CERT-In ने इंटरनेट यूजर्स और सिस्टम एडमिनिस्ट्रेटर दोनों के लिए जरूरी निर्देश जारी किए हैं-

• फायरफॉक्स, क्रोम, ऑपरेटिंग सिस्टम और सभी जरूरी सॉफ्टवेयर को तुरंत लेटेस्ट वर्जन पर अपडेट करें.
• अपने सिस्टम और वेबसाइट्स में इस्तेमाल हो रहे डिजिटल सर्टिफिकेट्स की वैधता और स्टेटस को दोबारा जांचें.
• प्रभावित सर्टिफिकेट्स को तुरंत हटाकर किसी पूरी तरह सुरक्षित और भरोसेमंद अथॉरिटी के नए सर्टिफिकेट लगाएं.
• इंटरनेट ब्राउजिंग करते समय स्क्रीन पर आने वाली किसी भी ‘Security Warning’ या ‘Not Secure’ चेतावनी को नजरअंदाज न करें.
• वेबसाइट फाइलों और सॉफ्टवेयर कोड में किसी भी संदिग्ध बदलाव या अनधिकृत गतिविधि पर कड़ी नजर रखें.