eMudhra Certificate Compromise: ડિજિટલ યુગમાં સુરક્ષિત ગણાતી વેબસાઈટની વિશ્વસનીયતા પર જ સવાલ ઊભા કરતી ગંભીર સુરક્ષા ખામી સામે આવી છે. ભારતની જાણીતી ડિજિટલ સર્ટિફિકેટ સેવા આપતી કંપની eMudhraનાં આઠ ઇન્ટરમિડિયેટ ડિજિટલ સર્ટિફિકેટની ખાનગી કી અત્યંત નબળી હોવાનું બહાર આવ્યું છે. આ ખામીનો દુરુપયોગ કરીને સાયબર ગુનેગારો નકલી ડિજિટલ સર્ટિફિકેટ બનાવી અસલી વેબસાઈટની ઓળખ ધારણ કરી શકે તેવી શક્યતા ઊભી થઈ હતી. ઘટનાની ગંભીરતાને ધ્યાનમાં રાખીને ભારતની સાયબર સુરક્ષા એજન્સી CERT-Inએ 21 ઓક્ટોબરે એડવાઇઝરી જાહેર કરી છે. બીજી તરફ Google અને Mozilla જેવી કંપનીઓએ જોખમ ઘટાડવા માટે તાત્કાલિક સુરક્ષાત્મક પગલાં લીધાં છે.

કેવી રીતે સામે આવી ઈ-મુદ્રાની મોટી સુરક્ષા ખામી?

eMudhra ડિજિટલ સર્ટિફિકેટ અને ઇલેક્ટ્રોનિક સહી સંબંધિત સેવાઓ આપતી ભારતીય કંપની છે. તેની વૈશ્વિક સર્ટિફિકેટ સેવાઓનો ઉપયોગ વેબસાઈટની ઓળખ ચકાસવા અને ઇન્ટરનેટ પર સુરક્ષિત સંચાર માટે થાય છે. 17 ઓક્ટોબર, 2026ના રોજ એક સુરક્ષા સંશોધકે કંપનીનાં આઠ ઇન્ટરમિડિયેટ સર્ટિફિકેટ સાથે જોડાયેલી ખાનગી કી નબળી હોવાનું શોધી કાઢ્યું હતું. તપાસમાં સામે આવ્યું કે સર્ટિફિકેટ માટે ઉપયોગમાં લેવામાં આવેલી ક્રિપ્ટોગ્રાફિક કી પૂરતી રેન્ડમ ન હોવાથી તેને સરળતાથી શોધી શકાય તેમ હતું.

આ ખામી અત્યંત ગંભીર ગણાય છે. કારણ કે ખાનગી કી (પ્રાઈવેટ કી) સુરક્ષિત ન રહે તો હુમલાખોરો વિશ્વસનીય દેખાતા બનાવટી HTTPS સર્ટિફિકેટ તૈયાર કરી શકે છે. તેનાથી અસલી વેબસાઈટની નકલ, સંચારમાં દખલગીરી અને સંવેદનશીલ માહિતી ચોરવાનો ખતરો ઊભો થઈ શકે છે.

આઠમાંથી છ સર્ટિફિકેટ વેબસાઈટની સુરક્ષા સાથે જોડાયેલા

સામે આવેલી વિગતો અનુસાર અસરગ્રસ્ત આઠ સર્ટિફિકેટમાંથી છનો સંબંધ TLS એટલે કે વેબસાઈટ પર સુરક્ષિત કનેક્શન સ્થાપિત કરવાની વ્યવસ્થા સાથે હતો. જ્યારે બાકીનાં બે સર્ટિફિકેટ સોફ્ટવેરની ડિજિટલ સહી સાથે જોડાયેલા હતા. સામાન્ય રીતે વેબસાઈટ ખોલતી વખતે બ્રાઉઝર તેનું ડિજિટલ સર્ટિફિકેટ ચકાસે છે. આ પ્રક્રિયાથી વેબસાઈટની ઓળખની ખાતરી મળે છે અને ડેટા સુરક્ષિત રીતે મોકલવામાં મદદ મળે છે, પરંતુ ઇન્ટરમિડિયેટ સર્ટિફિકેટની ખાનગી કી નબળી હોય તો હુમલાખોર તેના આધારે બનાવટી સર્ટિફિકેટ તૈયાર કરી શકે છે. યોગ્ય પરિસ્થિતિમાં આવી છેતરપિંડી દ્વારા યુઝર્સના સંચારને અટકાવી તેની માહિતી વાંચવા અથવા બદલવાનો પ્રયાસ થઈ શકે છે.

CERT-Inની ચેતવણી, સાયબર હુમલાનું જોખમ

ભારતીય કમ્પ્યૂટર ઇમર્જન્સી રિસ્પોન્સ ટીમ એટલે કે CERT-Inએ આ ઘટનાને લઈને સત્તાવાર એડવાઇઝરી જાહેર કરી છે. એજન્સીના જણાવ્યા અનુસાર અસરગ્રસ્ત સર્ટિફિકેટ માટે ઉપયોગમાં લેવામાં આવેલી P-384 ક્રિપ્ટોગ્રાફિક ખાનગી કીનું મૂલ્ય 256થી પણ ઓછું હતું. આવી નબળી કી તેના જાહેર ભાગની મદદથી ખૂબ જ ઝડપથી શોધી શકાય છે. સામાન્ય રીતે સુરક્ષિત ક્રિપ્ટોગ્રાફિક કી શોધવી અત્યંત મુશ્કેલ હોય છે. પરંતુ આ ઘટનામાં કી બનાવવાની પ્રક્રિયામાં રહેલી ખામીને કારણે સુરક્ષાની મૂળભૂત વ્યવસ્થા જ નબળી પડી ગઈ હતી. આવા બનાવટી સર્ટિફિકેટનો દુરુપયોગ કરીને હુમલાખોરો વેબસાઈટની ઓળખની નકલ કરી શકે છે. જોકે આ ખામીનો ઉપયોગ કરીને મોટા પાયે વાસ્તવિક સાયબર હુમલા થયા હોવાની પુષ્ટિ ઉપલબ્ધ નથી.

Google અને Mozillaએ તાત્કાલિક લીધાં પગલાં

સુરક્ષા ખામીની જાણ થતાં જ Google અને Mozillaએ પોતાના બ્રાઉઝર યુઝર્સની સુરક્ષા માટે અસરગ્રસ્ત સર્ટિફિકેટને બ્લોક કરવાની કાર્યવાહી શરૂ કરી હતી. ગુગલે 17 ઓક્ટોબરે ક્રોમની CRLSet સુરક્ષા વ્યવસ્થામાં ફેરફાર કરીને અસરગ્રસ્ત TLS સર્ટિફિકેટની કીને બ્લોક કરી હતી. આ સુરક્ષા અપડેટ માટે સામાન્ય ક્રોમ યુઝર્સને બ્રાઉઝર ફરી શરૂ કરવાની જરૂર પડી નહોતી. બીજી તરફ મોઝિલાએ ફાયરફોક્સની OneCRL વ્યવસ્થા દ્વારા અસરગ્રસ્ત સર્ટિફિકેટને બ્લોક કર્યાં હતાં. કંપનીએ જણાવ્યું હતું કે મોટાભાગના ફાયરફોક્સ યુઝર્સ સુધી સુરક્ષા અપડેટ 17 ઓક્ટોબરે જ પહોંચી ગયું હતું. મોઝિલાએ ખાસ સેટિંગ ધરાવતા યુઝર્સ માટે ફાયરફોક્સ 158.0.1 સહિતનાં અપડેટ પણ બહાર પાડ્યાં હતાં. આ ઉપરાંત સંબંધિત રૂટ સર્ટિફિકેટને તેની વિશ્વસનીય યાદીમાંથી દૂર કરવાની પ્રક્રિયા હાથ ધરવામાં આવી છે.

એપ્રિલ 2025માં કી બનાવતી વખતે સર્જાઈ હતી ખામી

eMudhraએ પોતાના સત્તાવાર નિવેદનમાં જણાવ્યું હતું કે સુરક્ષા ખામીનું મૂળ એપ્રિલ 2025માં યોજાયેલી કી જનરેશન સેરેમની સાથે જોડાયેલું છે. કંપનીના જણાવ્યા અનુસાર 30 એપ્રિલ, 2025ના રોજ ડિજિટલ કી બનાવવાની પ્રક્રિયા દરમિયાન તકનિકી ખામી સર્જાઈ હતી. તેના કારણે મજબૂત કીની સાથે નબળી કીનો બીજો સમૂહ પણ તૈયાર થયો હતો અને નબળી કી બ્રાઉઝરની વિશ્વસનીય સર્ટિફિકેટ વ્યવસ્થામાં પહોંચી ગઈ હતી. કંપનીએ જણાવ્યું છે કે અસરગ્રસ્ત આઠ ઇન્ટરમિડિયેટ સર્ટિફિકેટ 18 ઓક્ટોબરે રદ કરી દેવામાં આવ્યાં હતાં. સાથે જ સમગ્ર ઘટના અંગે તપાસ શરૂ કરવામાં આવી છે.

કંપનીના દાવા અનુસાર અસરગ્રસ્ત આઠમાંથી માત્ર એક ઇન્ટરમિડિયેટ સર્ટિફિકેટનો ઉપયોગ પ્રોડક્શન વ્યવસ્થામાં થયો હતો અને કોઈ પણ અસરગ્રસ્ત ઇન્ટરમિડિયેટ સર્ટિફિકેટ દ્વારા અંતિમ યુઝર માટે સર્ટિફિકેટ જારી કરવામાં આવ્યું નહોતું.

સામાન્ય ઇન્ટરનેટ યુઝર્સે શું સાવચેતી રાખવી?

સાયબર સુરક્ષા નિષ્ણાતોના મતે બ્રાઉઝર અને ઓપરેટિંગ સિસ્ટમમાં આવતાં સુરક્ષા અપડેટ સમયસર ઇન્સ્ટોલ કરવાં જરૂરી છે. વેબસાઈટ પર લોગિન કરતી વખતે તેનો સાચો ડોમેન ચકાસવો જોઈએ અને અજાણી લિંક દ્વારા બેંકિંગ કે અન્ય સંવેદનશીલ માહિતી આપવાનું ટાળવું જોઈએ. આ ઘટનામાં Google અને Mozillaએ અસરગ્રસ્ત સર્ટિફિકેટ બ્લોક કરીને મોટાભાગના સામાન્ય યુઝર્સ માટે જોખમ ઘટાડ્યું છે. જોકે, જૂની સિસ્ટમ, અપડેટ ન થયેલી એપ્લિકેશન અથવા વિશેષ સર્ટિફિકેટ ટ્રસ્ટ સ્ટોરનો ઉપયોગ કરતી વ્યવસ્થામાં વધારાની તકેદારી જરૂરી બની શકે છે.

આ પણ વાંચોઃ નેહા બોરાએ CJPના વિરોધ પ્રદર્શનથી સાધ્યું અંતર, દિલ્હી હાઈકોર્ટમાં વકીલે કરી સ્પષ્ટતા