eMudhra की सुरक्षा में सेंध पर सरकार का बयान, डिजिटल सिग्नेचर और eSign सेवाओं पर कोई असर नहीं

eMudhra के आठ सर्टिफिकेट में मिली थी खामी

eMudhra भारत की एक सर्टिफिकेट अथॉरिटी है, जो डिजिटल प्रमाणपत्र जारी करती है। एक सुरक्षा शोधकर्ता ने कंपनी के कुछ सर्टिफिकेट से जुड़ी निजी सिक्योरिटी कीज को कमजोर बताया था। इसके बाद आठ इंटरमीडिएट सर्टिफिकेट अथॉरिटी (CA) सर्टिफिकेट की सुरक्षा पर सवाल उठे। ऐसे सर्टिफिकेट का इस्तेमाल डिजिटल पहचान और वेबसाइटों के साथ सुरक्षित कनेक्शन स्थापित करने वाली व्यवस्था में किया जाता है।

Mozilla की क्रिप्टोग्राफी इंजीनियरिंग टीम के सदस्य डेनिस जैक्सन ने सोमवार को बताया था कि eMudhra के आठ इंटरमीडिएट CA सर्टिफिकेट से जुड़ी निजी कीज प्रभावित हुई हैं। इस मामले की जानकारी 17 अक्टूबर को रूट प्रोग्राम टीम को दी गई थी। इन सर्टिफिकेट का इस्तेमाल Mozilla, Microsoft, Apple और Chrome जैसे प्लेटफॉर्म के रूट प्रोग्राम में किया जाता है।

कंपनी ने आठों सर्टिफिकेट रद्द किए

eMudhra ने बताया कि मामले की जानकारी मिलने के अगले दिन ही आठों प्रभावित इंटरमीडिएट CA सर्टिफिकेट रद्द कर दिए गए थे। कंपनी के मुताबिक, इनमें से सात सर्टिफिकेट का इस्तेमाल प्रोडक्शन में नहीं किया गया था। आठवें सर्टिफिकेट को प्रोडक्शन में तैनात किया गया था, लेकिन उससे किसी अंतिम उपयोगकर्ता का सर्टिफिकेट जारी नहीं किया गया।

कंपनी ने यह भी दावा किया कि उसकी प्रणाली से छेड़छाड़ नहीं हुई और डेटा में सेंध लगने की घटना सामने नहीं आई। eMudhra के अनुसार, कमजोर कीज बनने की वजह उसकी की जनरेशन प्रक्रिया का एक चरण था। इस दौरान की रैप और अनरैप प्रक्रिया से मजबूत कीज के साथ कमजोर निजी कीज का दूसरा सेट भी तैयार हो गया था।

कमजोर कीज से क्या खतरा हो सकता था?

डिजिटल सर्टिफिकेट की निजी कीज कमजोर होने पर हमलावर फर्जी HTTPS सर्टिफिकेट जारी करने की कोशिश कर सकते हैं। इससे प्रभावित वेबसाइटों के साथ होने वाले संचार की सुरक्षा पर खतरा पैदा हो सकता है। हालांकि, eMudhra का कहना है कि उसके ग्राहकों की वेबसाइटों के सर्टिफिकेट इन कमजोर कीज से जारी नहीं किए गए थे।

कंपनी के मुताबिक, खामी करीब 18 महीने तक पकड़ में नहीं आई और इस दौरान दो स्वतंत्र ऑडिट भी हुए। अब प्रभावित सर्टिफिकेट रद्द करने और जरूरी सुधार की कार्रवाई की गई है। ऐसे में सरकार का बयान यूजर्स के लिए राहत देने वाला है, लेकिन इस मामले में कंपनी की सुरक्षा व्यवस्था और प्रमाणपत्र जारी करने की प्रक्रिया पर उठे सवाल भी अहम बने हुए हैं।