Google और Mozilla ने eMudhra के सर्टिफिकेट किए ब्लॉक? समझें आपकी ऑनलाइन सुरक्षा से क्या है इसका कनेक्शन

भारत की डिजिटल सुरक्षा कंपनी eMudhra के कुछ डिजिटल सर्टिफिकेट के मामले में ऐसा ही हुआ है। Google, Mozilla, Apple और Microsoft जैसे बड़े टेक्नोलॉजी कंपनियों ने eMudhra से जुड़े कुछ सर्टिफिकेट पर कार्रवाई की है। इसकी वजह उन सर्टिफिकेट की सुरक्षा से जुड़ी गंभीर खामी है। आइए आसान भाषा में समझते हैं कि पूरा मामला क्या है, इससे इंटरनेट इस्तेमाल करने वाले लोगों को क्या खतरा हो सकता है और आपको क्या करना चाहिए।

eMudhra एक भारतीय कंपनी है, जो डिजिटल सर्टिफिकेट, इलेक्ट्रॉनिक साइन और ऑनलाइन पहचान की पुष्टि से जुड़ी सेवाएं देती है। इंटरनेट पर वेबसाइटों और सॉफ्टवेयर की पहचान को भरोसेमंद बनाने में भी ऐसी कंपनियों की अहम भूमिका होती है।

रिपोर्ट के मुताबिक, eMudhra के आठ इंटरमीडिएट सर्टिफिकेशन अथॉरिटी (CA) सर्टिफिकेट की जांच में सुरक्षा से जुड़ी खामी मिली। इनमें से छह सर्टिफिकेट वेबसाइटों की पहचान प्रमाणित करने के लिए थे, जबकि दो सॉफ्टवेयर पर डिजिटल हस्ताक्षर करने के काम आते थे।

इन सर्टिफिकेट की निजी क्रिप्टोग्राफिक चाबियां यानी प्राइवेट की पर्याप्त सुरक्षित तरीके से तैयार नहीं की गई थीं। इस वजह से आशंका थी कि कोई हमलावर इन चाबियों का पता लगा सकता है और उनका गलत इस्तेमाल कर सकता है। इस खामी की जानकारी 17 अक्टूबर को स्वतंत्र सुरक्षा शोधकर्ता ने ब्राउजर कंपनियों को दी थी। इसके बाद प्रभावित सर्टिफिकेट के खिलाफ कार्रवाई की गई।

इसे एक आसान उदाहरण से समझिए। मान लीजिए कि आप किसी बैंक की वेबसाइट खोलते हैं। आपको यह भरोसा होना चाहिए कि आप असली बैंक की वेबसाइट पर हैं, न कि किसी ठग द्वारा बनाई गई नकली वेबसाइट पर। इंटरनेट पर वेबसाइट की पहचान प्रमाणित करने के लिए डिजिटल सर्टिफिकेट का इस्तेमाल किया जाता है।

इसे एक तरह का डिजिटल पहचान पत्र समझ सकते हैं। यह ब्राउजर को यह जांचने में मदद करता है कि वेबसाइट की पहचान सही है या नहीं और उसके साथ सुरक्षित कनेक्शन बनाया जा सकता है या नहीं। सर्टिफिकेट जारी करने वाली संस्था को सर्टिफिकेशन अथॉरिटी (CA) कहा जाता है। ब्राउजर ऐसी संस्थाओं और उनके सर्टिफिकेट पर भरोसा करके वेबसाइट की पहचान जांचते हैं।

यही वजह है कि अगर किसी भरोसेमंद सर्टिफिकेट जारी करने वाली संस्था के सिस्टम में गंभीर खामी आ जाए, तो उसका असर केवल एक वेबसाइट तक सीमित नहीं रहता। इससे इंटरनेट पर भरोसे की पूरी व्यवस्था प्रभावित हो सकती है।

डिजिटल सर्टिफिकेट की सुरक्षा में प्राइवेट की की अहम भूमिका होती है। इसे एक ऐसी गुप्त चाबी समझिए, जिसका इस्तेमाल किसी वेबसाइट या सॉफ्टवेयर की पहचान प्रमाणित करने में किया जाता है। इसे सुरक्षित रखना बेहद जरूरी होता है। इस चाबी को तैयार करते समय पर्याप्त रैंडमनेस यानी अप्रत्याशितता होनी चाहिए, ताकि कोई बाहरी व्यक्ति इसका अनुमान न लगा सके।

eMudhra के प्रभावित सर्टिफिकेट के मामले में यही सुरक्षा कमजोर पाई गई। अगर कोई हमलावर इन चाबियों को दोबारा तैयार करने या उनका पता लगाने में सफल हो जाता, तो वह नकली डिजिटल सर्टिफिकेट बना सकता था। ऐसे सर्टिफिकेट देखने में असली लग सकते थे, जबकि उनका इस्तेमाल धोखाधड़ी के लिए किया जा सकता था।

रिपोर्ट के अनुसार, प्रभावित चाबियों को कुछ ही सेकंड में दोबारा तैयार कर पाने की आशंका जताई गई थी। हालांकि, सुरक्षा में खामी मिलने का मतलब यह नहीं है कि हर सर्टिफिकेट का गलत इस्तेमाल हुआ या हर यूजर की जानकारी चोरी हो गई।

मान लीजिए कि कोई साइबर अपराधी आपके बैंक की वेबसाइट जैसी दिखने वाली नकली वेबसाइट बनाता है। आम तौर पर ब्राउजर ऐसी वेबसाइट की पहचान जांचकर यूजर को चेतावनी दे सकता है, लेकिन अगर हमलावर किसी भरोसेमंद सर्टिफिकेट अथॉरिटी की कमजोर प्राइवेट की का फायदा उठाकर वैध दिखने वाला नकली सर्टिफिकेट बना ले, तो खतरा बढ़ सकता है।

ऐसी स्थिति में हमलावर के लिए नकली वेबसाइट को भरोसेमंद दिखाना आसान हो सकता है। अगर यूजर धोखे में आकर उस वेबसाइट पर बैंकिंग पासवर्ड, कार्ड की जानकारी या दूसरी निजी जानकारी भर देता है, तो वह जानकारी खतरे में पड़ सकती है। कुछ परिस्थितियों में हमलावर सुरक्षित इंटरनेट कनेक्शन के जरिए भेजी जा रही जानकारी को बीच में रोकने या उसके साथ छेड़छाड़ करने की कोशिश भी कर सकता है। हालांकि, इसके लिए कई दूसरी परिस्थितियों का भी पूरा होना जरूरी है। केवल सर्टिफिकेट में खामी मिलने से यह साबित नहीं होता कि किसी व्यक्ति का बैंक अकाउंट हैक हो गया है या उसका डेटा चोरी हो चुका है।

सुरक्षा खामी सामने आने के बाद बड़ी ब्राउजर कंपनियों ने प्रभावित सर्टिफिकेट पर भरोसा रोकने के कदम उठाए। Google ने Chrome में आपातकालीन अपडेट के जरिए प्रभावित सर्टिफिकेट से जुड़ी कुंजियों को ब्लॉक किया। Mozilla ने Firefox में सर्टिफिकेट रद्द करने की अपनी व्यवस्था का इस्तेमाल किया।

Apple और Microsoft ने भी प्रभावित सर्टिफिकेट के खिलाफ कार्रवाई की। इसका उद्देश्य यह सुनिश्चित करना था कि ब्राउजर उन सर्टिफिकेट को सामान्य रूप से भरोसेमंद न मानें। खास बात यह है कि बताई गई सुरक्षा व्यवस्थाओं में यूजर्स को हर स्थिति में खुद ब्राउजर अपडेट करने या उसे दोबारा चालू करने की जरूरत नहीं थी। कुछ सुरक्षा उपाय अपने आप लागू किए जा सकते थे।

सिर्फ इस खबर के आधार पर यह नहीं कहा जा सकता कि आपका फोन, कंप्यूटर या बैंक अकाउंट खतरे में है। यह मामला मुख्य रूप से कुछ प्रभावित डिजिटल सर्टिफिकेट और उन्हें जारी करने वाली व्यवस्था की सुरक्षा से जुड़ा है। ब्राउजर कंपनियों की कार्रवाई का मकसद संभावित खतरे को रोकना है। फिर भी, इंटरनेट इस्तेमाल करते समय सावधानी बरतना जरूरी है।

इंटरनेट की सुरक्षा केवल आपके फोन, पासवर्ड या एंटीवायरस पर निर्भर नहीं करती। इसके पीछे कई ऐसी व्यवस्थाएं काम करती हैं, जो वेबसाइटों और सॉफ्टवेयर की पहचान पर भरोसा कायम रखती हैं। eMudhra जैसी कंपनियां इस व्यवस्था का हिस्सा हैं। इसलिए इनके सिस्टम में कोई बड़ी खामी सामने आने पर ब्राउजर कंपनियों को कार्रवाई करनी पड़ती है, ताकि संभावित खतरे को फैलने से रोका जा सके।

सीधी बात यह है कि eMudhra के कुछ सर्टिफिकेट में सुरक्षा खामी मिलने के बाद Google, Mozilla, Apple और Microsoft ने उन पर भरोसा रोकने के कदम उठाए। इसका मकसद यूजर्स को संभावित नकली वेबसाइटों और डिजिटल धोखाधड़ी से बचाना है। यह घटना याद दिलाती है कि ऑनलाइन सुरक्षा के लिए केवल वेबसाइट पर लॉक का निशान देखना काफी नहीं है। ब्राउजर को अपडेट रखना और वेबसाइट की पहचान जांचना भी उतना ही जरूरी है।