बेंगलुरु की डिजिटल ट्रस्ट कंपनी eMudhra ने खुलासा किया है कि उसके आठ इंटरमीडिएट सर्टिफिकेट अथॉरिटी सर्टिफिकेट से जुड़ी प्राइवेट कीज़ (private keys) कॉम्प्रोमाइज हो गई हैं। कंपनी के मुताबिक, 2025 में आयोजित एक की जनरेशन सेरेमनी के दौरान तकनीकी खराबी आने की वजह से यह समस्या पैदा हुई।
इस सुरक्षा चूक के कारण वैश्विक वेब ट्रैफिक के लिए संभावित जोखिम पैदा हो गया है। इसमें मैन इन द मिडल अटैक (man in the middle attacks) होने या फर्जी सर्टिफिकेट जारी किए जाने की आशंका जताई गई है। भारत की एजेंसी CERT In ने इस घटना पर प्रतिक्रिया देते हुए CIAD 2026 0050 नाम से एक एडवाइजरी जारी की है।
CERT In ने चेतावनी दी है कि यह विफलता P 384 कीज़ के जनरेशन प्रोसेस के दौरान क्रिप्टोग्राफिक रैंडमनेस की कमी के कारण हुई थी। इस गंभीर मामले की जांच के लिए MeitY ने एक स्पेशल इन्वेस्टिगेशन टीम का गठन किया है। सरकारी अधिकारियों ने पुष्टि की है कि भारतीय वेबसाइटों और एप्लीकेशन पर इसका असर बहुत सीमित है और जनता से अपील की गई है कि वे सोशल मीडिया पर चल रही अटकलों पर ध्यान न दें।
सुरक्षा विफलता के तकनीकी कारण और खोज
इस समस्या की शुरुआत 30 अप्रैल 2025 को एक की जनरेशन सेरेमनी के दौरान हुई थी। इस प्रक्रिया में FIPS 140 2 लेवल 3 हार्डवेयर सिक्योरिटी मॉड्यूल का इस्तेमाल किया गया था। एक विशिष्ट रैप और अनरैप स्टेप की वजह से कमजोर कीज़ का दूसरा सेट तैयार हो गया, जिन्हें बाद में ब्राउज़र रूट स्टोर्स में पब्लिश कर दिया गया।
स्वतंत्र सुरक्षा शोधकर्ताओं ने पाया कि AI आधारित तकनीकों के इस्तेमाल से इन कमजोर कीज़ को रिकवर किया जा सकता है। शोधकर्ताओं ने 17 और 18 अक्टूबर 2026 के वीकेंड के दौरान एप्पल, गूगल, माइक्रोसॉफ्ट और मोज़िला जैसे बड़े ब्राउज़र वेंडर्स को अपनी रिपोर्ट सौंपी।
eMudhra ने 21 अक्टूबर को एक एक्सचेंज फाइलिंग में स्पष्ट किया कि कंपनी का कोर इंफ्रास्ट्रक्चर सुरक्षित है। कंपनी ने पुष्टि की कि कोई डेटा ब्रीच नहीं हुआ है और सभी फिजिकल व लॉजिकल कंट्रोल सही तरीके से काम कर रहे थे। सर्टिफिकेट ट्रांसपेरेंसी लॉग्स से यह भी पता चला कि प्रभावित आठ इंटरमीडिएट सर्टिफिकेट्स ने कोई एंड एंटिटी सर्टिफिकेट जारी नहीं किए थे।
प्रभावित सेवाएं और सुधार के लिए उठाए गए कदम
कंपनी के कुल राजस्व में ग्लोबल ट्रांसपोर्ट लेयर सिक्योरिटी बिजनेस की हिस्सेदारी लगभग एक प्रतिशत है, लेकिन इस घटना के बाद तत्काल कार्रवाई करनी पड़ी। ब्राउज़रों ने 17 और 18 अक्टूबर को प्रभावित सर्टिफिकेट्स को ब्लॉक करना शुरू कर दिया और eMudhra ने सभी आठ इंटरमीडिएट्स को रद्द (revoke) कर दिया।
कंपनी अब प्रभावित ग्राहकों के लिए एक वैकल्पिक ट्रस्टेड पदानुक्रम (hierarchy) से रिप्लेसमेंट सर्टिफिकेट जारी कर रही है। गूगल ने घोषणा की है कि वह emSign ECC Root CA G3 को क्रोम रूट स्टोर से हटा देगा, जिसका रोलआउट 27 अक्टूबर के आसपास होने की उम्मीद है।
कंपनी के आधिकारिक बयान के अनुसार, घरेलू डिजिटल सिग्नेचर सर्टिफिकेट और eSign सेवाएं इस घटना से पूरी तरह अप्रभावित हैं। ये सेवाएं कंट्रोलर ऑफ सर्टिफाइंग अथॉरिटीज के तहत अलग इंफ्रास्ट्रक्चर पर काम करती हैं। मोज़िला और गूगल ने OneCRL और CRLSet के जरिए कॉम्प्रोमाइज्ड कीज़ को ब्लॉक करके जोखिम को कम किया है।
पब्लिक की इंफ्रास्ट्रक्चर के विशेषज्ञों का कहना है कि यह मामला की जनरेशन सेरेमनी की पुष्टि करने की कठिनाई को दर्शाता है। ऑडिट और हाई सिक्योरिटी हार्डवेयर के बावजूद, आधुनिक वेब सुरक्षा की जटिल ट्रस्ट चेन में जोखिम बने रह सकते हैं।
MeitY की स्पेशल टीम eMudhra और अन्य सर्विस ऑपरेटर्स के साथ समन्वय करते हुए जांच जारी रखेगी। भविष्य के प्रयासों में रूट कॉज़ एनालिसिस पूरा करना और किसी भी असामान्य गतिविधि की निगरानी करना शामिल है। CERT In के दिशा-निर्देशों के आधार पर सिस्टम एडमिनिस्ट्रेटर को अपना सॉफ्टवेयर अपडेट करने और ट्रस्ट स्टोर्स की नियमित जांच करने की सलाह दी गई है।
