नई दिल्ली (टेक डेस्क): भारत के करोड़ों इंटरनेट यूजर्स, ऑनलाइन बैंकिंग ग्राहकों, आयकर रिटर्न भरने वाले करदाताओं और डिजिटल सिग्नेचर इस्तेमाल करने वाले पेशेवरों की साइबर सुरक्षा से जुड़ा एक बेहद गंभीर और चौंकाने वाला मामला सामने आया है। दुनिया की शीर्ष तकनीकी दिग्गज कंपनियों—गूगल (Google), एपल (Apple), माइक्रोसॉफ्ट (Microsoft) और मोज़िला (Mozilla) ने संयुक्त रूप से कदम उठाते हुए भारत की अग्रणी डिजिटल सिग्नेचर और साइबर सुरक्षा कंपनी eMudhra द्वारा जारी किए गए आठ डिजिटल रूट और इंटरमीडिएट सर्टिफिकेट्स को अपने ऑपरेटिंग सिस्टम्स और वेब ब्राउज़रों में ब्लॉक (अमान्य) कर दिया है। अंतरराष्ट्रीय साइबर सुरक्षा शोधकर्ताओं द्वारा किए गए एक वैश्विक ऑडिट में यह खुलासा हुआ कि इन डिजिटल सर्टिफिकेट्स को जनरेट करने के लिए इस्तेमाल की गई एन्क्रिप्शन कीज (Private Keys) मानक सुरक्षा नियमों के मुकाबले बेहद कमजोर थीं, जिससे हैकर्स के लिए भारतीय इंटरनेट ट्रैफिक की जासूसी करने और फर्जी वेबसाइट्स बनाने का रास्ता खुल सकता था।
डिजिटल सर्टिफिकेट क्या होता है और यह इंटरनेट सुरक्षा के लिए क्यों जरूरी है?
जब भी आप अपने कंप्यूटर या स्मार्टफोन पर कोई बैंक की वेबसाइट (जैसे एसबीआई, एचडीएफसी), सरकारी पोर्टल (जैसे इनकम टैक्स या जीएसटी), या ई-कॉमर्स साइट खोलते हैं, तो ब्राउज़र के एड्रेस बार में एक ताले का निशान (Padlock Icon) और ‘HTTPS’ लिखा दिखाई देता है। यह ताला इस बात का प्रमाण होता है कि आपके डिवाइस और उस वेबसाइट के बीच भेजा जा रहा डेटा (जैसे आपका पासवर्ड, एटीएम पिन या क्रेडिट कार्ड नंबर) पूरी तरह से एन्क्रिप्टेड है और रास्ते में कोई भी तीसरा व्यक्ति उसे नहीं पढ़ सकता।
यह सुरक्षित कनेक्शन स्थापित करने का काम ‘डिजिटल सर्टिफिकेट्स’ करते हैं, जिन्हें eMudhra जैसी अधिकृत सर्टिफाइंग अथॉरिटीज (CAs) द्वारा जारी किया जाता है। वैश्विक वेब समुदाय में किसी भी सर्टिफाइंग अथॉरिटी को बहुत कड़े नियमों, जटिल गणितीय एल्गोरिदम और ‘सीए/ब्राउज़र फोरम’ (CA/Browser Forum) के अंतरराष्ट्रीय मानकों का पालन करना होता है। यदि किसी सर्टिफिकेट जारीकर्ता की अपनी मास्टर कीज कमजोर या समझौता-योग्य पाई जाती हैं, तो पूरा इंटरनेट सुरक्षा तंत्र चरमरा सकता है।
शोधकर्ताओं ने क्या खामी पकड़ी? क्यों उठाना पड़ा यह कड़ा कदम?
स्वतंत्र साइबर सुरक्षा ऑडिटर्स और गूगल के सुरक्षा विश्लेषकों ने पाया कि eMudhra द्वारा हाल के महीनों में जारी किए गए कुछ सब-सीए (Sub-CA) और रूट सर्टिफिकेट्स में क्रिप्टोग्राफिक रूप से कमजोर ‘स्यूडो-रैंडम नंबर जनरेटर्स’ का उपयोग किया गया था। सरल शब्दों में कहें तो जिस तिजोरी की चाबी को अरबों-खरबों संयोजनों वाला जटिल कोड होना चाहिए था, वह इतनी कमजोर थी कि आधुनिक सुपरकंप्यूटर और एआई टूल्स चंद घंटों में उस प्राइवेट की का अनुमान लगा सकते थे।
यदि कोई दुर्भावनापूर्ण हैकर या विदेशी स्पाई एजेंसी इस कमजोर की को क्रैक कर लेती, तो वे भारत सरकार, बैंकों या किसी भी लोकप्रिय पोर्टल के नाम पर फर्जी ‘वैध’ दिखने वाले सर्टिफिकेट जारी कर सकते थे। इसके जरिए वे ‘मैन-इन-द-मिडिल’ (MitM) अटैक करके उपयोगकर्ताओं के गोपनीय बैंकिंग क्रेडेंशियल्स और सरकारी दस्तावेजों को बिना किसी चेतावनी के बीच रास्ते में ही चुरा सकते थे। इसी गंभीर खतरे को देखते हुए क्रोम, सफारी, एज और फायरफॉक्स ने इन 8 सर्टिफिकेट्स का भरोसा (Trust) तत्काल प्रभाव से समाप्त कर दिया।
eMudhra और भारत सरकार का स्पष्टीकरण
इस वैश्विक कार्रवाई के बाद eMudhra प्रबंधन और भारत सरकार के इलेक्ट्रॉनिक्स एवं आईटी मंत्रालय (MeitY) के नियंत्रक प्रमाणन प्राधिकरण (Controller of Certifying Authorities – CCA) ने एक विस्तृत स्पष्टीकरण जारी किया है। eMudhra ने स्वीकार किया कि आंतरिक ऑडिट में कुछ पुराने परीक्षण और गैर-उत्पादन सर्टिफिकेट्स में प्रक्रियात्मक विसंगतियां पाई गई थीं, लेकिन कंपनी ने दावा किया कि इन कमजोर कीज का इस्तेमाल कभी भी वास्तविक लाइव लेनदेन या व्यक्तिगत डिजिटल सिग्नेचर डोंगल (DSC) जारी करने में नहीं किया गया था।
कंपनी ने बताया कि प्रभावित सभी 8 सर्टिफिकेट्स को अपनी ओर से भी तत्काल निरस्त (Revoke) कर दिया गया है और उनकी जगह नए 4096-बिट क्वांटम-रेजिस्टेंट एन्क्रिप्शन वाले सर्टिफिकेट्स को तैनात कर दिया गया है। भारत के सीसीए (CCA) ने भी स्पष्ट किया है कि भारत में जारी किए गए सामान्य क्लास-3 डिजिटल सिग्नेचर टोकन, आयकर फाइलिंग, टेंडर पोर्टल (e-Procurement), और एमसीए (MCA) पोर्टल पर कंपनी के रोजमर्रा के कामकाज सुरक्षित और अप्रभावित हैं।
आम उपयोगकर्ताओं, सीए और वकीलों पर क्या असर पड़ेगा?
यदि आप एक सामान्य इंटरनेट उपभोक्ता हैं या पेशेवर हैं जो प्रतिदिन eMudhra के डिजिटल सिग्नेचर का उपयोग करते हैं, तो आपको निम्नलिखित सावधानियां बरतनी चाहिए:
1. ब्राउज़र वार्निंग पर ध्यान दें: यदि आप इंटरनेट पर कोई वेबसाइट खोलते हैं और आपका क्रोम या सफारी ब्राउज़र ‘Your connection is not private’ या ‘Certificate Invalid’ जैसी लाल चेतावनी दिखाता है, तो भूलकर भी ‘Proceed Anyway’ पर क्लिक न करें। तुरंत उस साइट से बाहर आएं और बैंक या एडमिन को सूचित करें।
2. ब्राउज़र और विंडोज को तुरंत अपडेट करें: गूगल, माइक्रोसॉफ्ट और एपल ने अपने ऑपरेटिंग सिस्टम्स में सुरक्षा पैच जारी कर दिए हैं। अपने विंडोज पीसी, मैकबुक और स्मार्टफोन को तुरंत नवीनतम वर्जन में अपडेट कर लें ताकि निरस्त किए गए सर्टिफिकेट्स आपके सिस्टम से हमेशा के लिए हट जाएं।
3. डिजिटल सिग्नेचर (DSC) डोंगल यूजर्स: यदि आपके डोंगल में लगा डिजिटल सर्टिफिकेट किसी ऐसे पुराने रूट से लिंक है जिसे ब्राउज़र रिजेक्ट कर रहा है, तो तुरंत अपने वेंडर या eMudhra सपोर्ट से संपर्क करके नए रूट वाला सर्टिफिकेट अपडेट करवा लें। इसके लिए कोई अतिरिक्त सरकारी फीस नहीं लगती।
भारतीय साइबर सुरक्षा इंफ्रास्ट्रक्चर के लिए सबक
यह घटना भारतीय साइबर सुरक्षा जगत के लिए एक बड़ा सबक है कि डिजिटल इंडिया और आत्मनिर्भर भारत के इस दौर में हमारे स्वदेशी सुरक्षा टूल्स को अंतरराष्ट्रीय मानकों की कसौटी पर 100% खरा उतरना होगा। एक छोटी सी तकनीकी चूक भी देश के डिजिटल विश्वास और प्रतिष्ठा को वैश्विक मंच पर प्रभावित कर सकती है। भारत के सर्ट-इन (CERT-In) ने अब देश की सभी सर्टिफाइंग अथॉरिटीज के लिए त्रैमासिक अनिवार्य सुरक्षा ऑडिट का आदेश जारी कर दिया है।
इंटरनेट की दुनिया में आपकी डिजिटल पहचान और डेटा की सुरक्षा ही आपकी सबसे बड़ी पूंजी है। साइबर सुरक्षा, डिजिटल कानूनों और टेक दुनिया के बड़े घटनाक्रमों की त्वरित व विश्वसनीय जानकारी के लिए हमारे टेक्नोलॉजी सेक्शन को नियमित रूप से पढ़ें।
क्रिप्टोग्राफिक सुरक्षा और 4096-बिट एन्क्रिप्शन का महत्व
इंटरनेट की दुनिया में जब कोई डेटा एक जगह से दूसरी जगह भेजा जाता है, तो उसे सुरक्षित रखने के लिए ‘आरएसए’ (RSA) या ‘इलिप्टिक कर्व क्रिप्टोग्राफी’ (ECC) एल्गोरिदम का इस्तेमाल होता है। यह तकनीक बहुत बड़े अभाज्य संख्याओं (Prime Numbers) के गुणनफल पर आधारित होती है। आमतौर पर अंतरराष्ट्रीय मानकों के अनुसार कम से कम 2048-बिट या 4096-बिट की की-लेंथ (Key Length) अनिवार्य मानी जाती है।
eMudhra के मामले में यह पाया गया कि कुछ पुराने इंटरमीडिएट सर्टिफिकेट्स में सुरक्षा कीज का रैंडमाइजेशन कमजोर था। इसका अर्थ यह है कि जिस कंप्यूटर प्रोग्राम ने वह सुरक्षा कोड बनाया था, उसने पर्याप्त रूप से जटिल ‘एन्ट्रॉपी’ (Entropy) का उपयोग नहीं किया था। वर्तमान युग में जब एआई और क्वांटम कंप्यूटिंग तेजी से विकसित हो रहे हैं, ऐसी कमजोर कीज को डिकोड करना साइबर अपराधियों के लिए बहुत आसान हो जाता है। गूगल और एपल का कड़ा रुख यह संदेश देता है कि शून्य-सहिष्णुता (Zero Tolerance) की नीति ही इंटरनेट को सुरक्षित रख सकती है।
उद्योग जगत पर प्रभाव: बैंकिंग और फिनटेक कंपनियों का त्वरित सुरक्षा ऑडिट
इस खुलासे के तुरंत बाद भारतीय रिजर्व बैंक (RBI) और सेबी (SEBI) ने देश के सभी अनुसूचित वाणिज्यिक बैंकों, यूपीआई सेवा प्रदाताओं, म्यूचुअल फंड्स और स्टॉक ब्रोकर्स को एक आंतरिक तकनीकी ऑडिट करने का निर्देश दिया है। वित्तीय संस्थानों को यह सत्यापित करना होगा कि उनके वेब सर्वर और मोबाइल बैंकिंग ऐप्स में ब्लॉक किए गए किसी भी सर्टिफिकेट का उपयोग नहीं किया जा रहा है।
नेशनल पेमेंट्स कॉरपोरेशन ऑफ इंडिया (NPCI) ने स्पष्ट किया है कि भारत का यूपीआई (UPI) नेटवर्क और आईएमपीएस (IMPS) अपने स्वयं के निजी हाई-सिक्योरिटी इंफ्रास्ट्रक्चर पर काम करते हैं और उन पर इस सर्टिफिकेट विवाद का कोई सीधा प्रभाव नहीं है। हालांकि सभी कॉरपोरेट संगठनों को सलाह दी गई है कि वे केवल उन्हीं सीए (Certifying Authorities) से नए सर्टिफिकेट्स लें जो वैश्विक वेबट्रस्ट (WebTrust) ऑडिट में पूरी तरह प्रमाणित हों।
