eMudhra Security Flaw: प्राइवेट की की कीमत निकली सिर्फ 4, Google-Mozilla ने ब्लॉक किए सर्टिफिकेट!

eMudhra Security Flaw: इंटरनेट पर किसी वेबसाइट को खोलते समय URL में HTTPS और लॉक का निशान देखकर यूजर्स अक्सर मान लेते हैं कि उनकी ऑनलाइन गतिविधियां सुरक्षित हैं। लेकिन अगर वेबसाइट की पहचान प्रमाणित करने वाले डिजिटल सर्टिफिकेट में ही सुरक्षा की बड़ी खामी सामने आ जाए, तो यह भरोसा खतरे में पड़ सकता है। भारत की डिजिटल सिक्योरिटी कंपनी eMudhra से जुड़ा ऐसा ही एक मामला सामने आया है, जिसमें आठ इंटरमीडिएट सर्टिफिकेट अथॉरिटी की प्राइवेट क्रिप्टोग्राफिक की कमजोर पाई गईं। इनकी मदद से संभावित रूप से फर्जी वेबसाइट सर्टिफिकेट तैयार किए जा सकते थे।

इस मामले के सामने आने के बाद Google, Mozilla, Apple और Microsoft जैसे बड़े टेक्नोलॉजी प्लेटफॉर्म ने प्रभावित सर्टिफिकेट के खिलाफ कदम उठाए। वहीं, इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने भी इस मामले में एडवाइजरी जारी की है। कंपनी का कहना है कि उसकी भारत में डिजिटल सिग्नेचर सर्टिफिकेट (DSC) और eSign सेवाएं प्रभावित नहीं हुई हैं।

क्या है eMudhra का पूरा मामला?

eMudhra डिजिटल पहचान, इलेक्ट्रॉनिक सिग्नेचर और डिजिटल सर्टिफिकेट से जुड़ी सेवाएं देने वाली कंपनी है। इसकी वैश्विक वेबसाइट सिक्योरिटी सेवाओं से जुड़े सर्टिफिकेट इंटरनेट पर वेबसाइटों की पहचान प्रमाणित करने में अहम भूमिका निभाते हैं।

17 अक्टूबर 2026 को एक सिक्योरिटी रिसर्चर ने ब्राउजर कंपनियों को जानकारी दी कि eMudhra के आठ इंटरमीडिएट सर्टिफिकेट अथॉरिटी से जुड़ी प्राइवेट की कमजोर हैं। शुरुआती जांच में पता चला कि इन की को पर्याप्त क्रिप्टोग्राफिक रैंडमनेस के साथ जनरेट नहीं किया गया था। इस वजह से इन्हें रिकवर करना बेहद आसान हो गया था।

सामान्य तौर पर प्राइवेट की एक गुप्त क्रिप्टोग्राफिक नंबर होती है, जिसे इस तरह तैयार किया जाता है कि कोई बाहरी व्यक्ति उसे आसानी से अनुमान न लगा सके। लेकिन इस मामले में कुछ की की वैल्यू 256 से भी कम थी। इनमें से एक की की वैल्यू सिर्फ 4 थी।

इसका मतलब यह था कि संभावित हमलावर बहुत कम संभावित वैल्यू आजमाकर प्राइवेट की का पता लगा सकता था। इससे प्रभावित सर्टिफिकेट अथॉरिटी की पहचान का गलत इस्तेमाल करने और फर्जी वेबसाइट सर्टिफिकेट तैयार करने का खतरा पैदा हो गया।

Private Key कमजोर होने से क्या खतरा पैदा होता है?

इंटरनेट पर HTTPS कनेक्शन स्थापित करते समय ब्राउजर वेबसाइट के डिजिटल सर्टिफिकेट की जांच करता है। यह सर्टिफिकेट वेबसाइट की पहचान की पुष्टि करने और सुरक्षित कनेक्शन स्थापित करने में मदद करता है।

अगर किसी सर्टिफिकेट अथॉरिटी की प्राइवेट की किसी दूसरे व्यक्ति के हाथ लग जाए, तो वह उस अथॉरिटी के भरोसे का गलत इस्तेमाल करके फर्जी सर्टिफिकेट बनाने की कोशिश कर सकता है। ऐसी स्थिति में हमलावर किसी असली वेबसाइट की नकल कर सकता है और कुछ परिस्थितियों में यूजर तथा वेबसाइट के बीच होने वाले कम्युनिकेशन को इंटरसेप्ट करने का प्रयास कर सकता है।

इससे लॉगिन क्रेडेंशियल, निजी जानकारी और दूसरे संवेदनशील डेटा के उजागर होने का जोखिम पैदा हो सकता है। प्रभावित कोड-साइनिंग सर्टिफिकेट का दुरुपयोग करके दुर्भावनापूर्ण सॉफ्टवेयर को भरोसेमंद दिखाने की आशंका भी थी।

हालांकि, प्रभावित की का कमजोर होना और वास्तव में यूजर्स के डेटा की चोरी होना दो अलग-अलग बातें हैं। उपलब्ध जानकारी के मुताबिक, इस घटना से जुड़े सर्टिफिकेट का इस्तेमाल करके किसी हमलावर ने यूजर्स का डेटा चुराया हो, इसकी पुष्टि नहीं हुई है।

अप्रैल 2025 में हुई थी चूक

eMudhra के मुताबिक, यह समस्या अप्रैल 2025 में आयोजित एक Key Generation Ceremony के दौरान पैदा हुई थी। इस प्रक्रिया में क्रिप्टोग्राफिक की तैयार की जाती हैं, जिन्हें बाद में डिजिटल सर्टिफिकेट जारी करने के लिए इस्तेमाल किया जाता है।

कंपनी ने बताया कि प्रक्रिया में मौजूद एक खामी के कारण मजबूत की के साथ कमजोर की का दूसरा सेट भी तैयार हो गया। इसके बाद कमजोर की का इस्तेमाल प्रभावित सर्टिफिकेट में हो गया।

कंपनी के अनुसार, आठ प्रभावित इंटरमीडिएट सर्टिफिकेट अथॉरिटी में से केवल एक को प्रोडक्शन में इस्तेमाल किया गया था। कंपनी ने यह भी कहा कि इनमें से किसी ने भी अंतिम यूजर्स के लिए सर्टिफिकेट जारी नहीं किया। उसके मुताबिक, इस बात की पुष्टि सार्वजनिक Certificate Transparency रिकॉर्ड से भी होती है।

eMudhra ने घटना की जांच शुरू की और प्रभावित सर्टिफिकेट को हटाने की प्रक्रिया अपनाई। कंपनी ने कहा कि उसकी रूट सर्टिफिकेट अथॉरिटी की प्राइवेट की और अन्य इंटरमीडिएट सर्टिफिकेट प्रभावित नहीं हुए हैं।

Google, Mozilla और दूसरे ब्राउजर ने क्या कदम उठाए?

इस खामी की गंभीरता को देखते हुए प्रमुख ब्राउजर कंपनियों ने प्रभावित सर्टिफिकेट को ब्लॉक करने की कार्रवाई की।

Google ने 17 अक्टूबर 2026 को Chrome में प्रभावित इंटरमीडिएट अथॉरिटी की पब्लिक की से जुड़े हैश को ब्लॉक करने के लिए सुरक्षा अपडेट जारी किया। Mozilla ने Firefox में प्रभावित सर्टिफिकेट को अपनी केंद्रीकृत ब्लॉकलिस्ट के जरिए ब्लॉक किया। कंपनी ने Firefox के कुछ वर्जन और अन्य संबंधित सॉफ्टवेयर के लिए अतिरिक्त अपडेट भी जारी किए।

Apple और Microsoft ने भी प्रभावित सर्टिफिकेट के खिलाफ कदम उठाए। eMudhra ने 18 अक्टूबर को आठ प्रभावित इंटरमीडिएट सर्टिफिकेट रद्द कर दिए।

हालांकि, ब्राउजर में सुरक्षा लागू होने का मतलब यह नहीं है कि हर सॉफ्टवेयर और डिवाइस अपने आप सुरक्षित हो गया है। कुछ एप्लिकेशन और सिस्टम सर्टिफिकेट रद्द होने की जानकारी को तुरंत अपडेट नहीं करते। ऐसे सिस्टम में जोखिम तब तक बना रह सकता है, जब तक उनके सर्टिफिकेट ट्रस्ट स्टोर और सुरक्षा अपडेट को सही तरीके से अपडेट नहीं किया जाता।

CERT-In ने जारी की एडवाइजरी

CERT-In ने 21 अक्टूबर 2026 को eMudhra के प्रभावित इंटरमीडिएट सर्टिफिकेट से जुड़े मामले पर एडवाइजरी जारी की। इसमें बताया गया कि कमजोर क्रिप्टोग्राफिक रैंडमनेस के कारण प्राइवेट की को लगभग तुरंत रिकवर किया जा सकता था।

एडवाइजरी में चेतावनी दी गई कि इन की का दुरुपयोग फर्जी TLS सर्टिफिकेट जारी करने, असली वेबसाइटों की नकल करने और कुछ परिस्थितियों में सुरक्षित कम्युनिकेशन को इंटरसेप्ट या मॉडिफाई करने के लिए किया जा सकता था।

CERT-In ने यूजर्स और संगठनों को अपने ब्राउजर तथा ऑपरेटिंग सिस्टम के सुरक्षा अपडेट इंस्टॉल करने की सलाह दी। वेबसाइट संचालकों को प्रभावित सर्टिफिकेट की पहचान करने, जरूरत पड़ने पर उन्हें बदलने और सर्टिफिकेट ट्रस्ट स्टोर अपडेट करने के लिए कहा गया। यूजर्स को ब्राउजर की सुरक्षा चेतावनियों को नजरअंदाज नहीं करने की भी सलाह दी गई।

क्या भारत की डिजिटल सिग्नेचर और eSign सेवाएं प्रभावित हुई हैं?

यह इस पूरे मामले का सबसे अहम पहलू है। eMudhra का कहना है कि सुरक्षा संबंधी खामी उसकी वैश्विक वेबसाइट सर्टिफिकेट सेवाओं तक सीमित है और भारत में उसकी डिजिटल सिग्नेचर सर्टिफिकेट तथा eSign सेवाएं प्रभावित नहीं हुई हैं। कंपनी के अनुसार, इन सेवाओं का इंफ्रास्ट्रक्चर अलग है।

CERT-In की एडवाइजरी में भी घरेलू डिजिटल सिग्नेचर सर्टिफिकेट और eSign सेवाओं को इस घटना से अप्रभावित बताया गया है।

इसलिए फिलहाल उपलब्ध जानकारी के आधार पर यह कहना सही नहीं होगा कि भारत में eMudhra की सभी डिजिटल सेवाएं खतरे में हैं। हालांकि, घटना की पूरी वजह, सुरक्षा प्रक्रियाओं में हुई चूक और भविष्य में ऐसी समस्या रोकने के लिए उठाए गए कदमों की जांच महत्वपूर्ण बनी हुई है।

यूजर्स को अब क्या करना चाहिए?

आम इंटरनेट यूजर्स को घबराने की जरूरत नहीं है, लेकिन कुछ जरूरी सावधानियां बरतनी चाहिए। अपने ब्राउजर और ऑपरेटिंग सिस्टम को अपडेट रखें। अगर किसी वेबसाइट पर सर्टिफिकेट या सिक्योरिटी वॉर्निंग दिखाई देती है, तो उसे नजरअंदाज करके आगे न बढ़ें।

किसी भी वेबसाइट पर बैंकिंग, भुगतान या संवेदनशील जानकारी दर्ज करने से पहले उसका सही डोमेन नाम जांचें। सिर्फ HTTPS या लॉक के निशान को वेबसाइट की विश्वसनीयता का पूर्ण प्रमाण न मानें।

कंपनियों और वेबसाइट संचालकों को अपने डिजिटल सर्टिफिकेट, सर्टिफिकेट ट्रस्ट स्टोर और सिक्योरिटी अपडेट की जांच करनी चाहिए। जरूरत पड़ने पर प्रभावित सर्टिफिकेट को बदलना और अनधिकृत सर्टिफिकेट जारी होने की निगरानी करना भी जरूरी है।

eMudhra का मामला दिखाता है कि इंटरनेट की सुरक्षा केवल मजबूत एन्क्रिप्शन पर निर्भर नहीं करती। क्रिप्टोग्राफिक की तैयार करने की प्रक्रिया में छोटी-सी चूक भी बड़े स्तर पर जोखिम पैदा कर सकती है। फिलहाल, ब्राउजर कंपनियों और CERT-In की कार्रवाई ने खतरे को सीमित करने में अहम भूमिका निभाई है, जबकि घटना की जांच और सुरक्षा उपायों की समीक्षा आगे भी महत्वपूर्ण रहेगी।