eMudhra प्रमाणपत्र की खामी के चलते Google, Mozilla, Apple और Microsoft ने 17 अक्टूबर से 20 अक्टूबर, 2026 के बीच प्रभावित प्रमाणपत्रों को ब्लॉक किया। शोधकर्ताओं ने आठ इंटरमीडिएट प्रमाणपत्रों की निजी साइनिंग कुंजियाँ पुनः प्राप्त कर ली थीं। Google ने eMudhra के एक रूट प्रमाणपत्र को व्यापक रूप से हटाने की भी घोषणा की; Chrome Root Store पर निर्भर उपकरणों में इसका रोलआउट 27 अक्टूबर को अपेक्षित था।

मुख्य बातें

  • आठ इंटरमीडिएट प्रमाणपत्रों की निजी कुंजियाँ आसानी से पुनः प्राप्त की जा सकती थीं: छह वेबसाइट सुरक्षा के लिए और दो कोड साइनिंग के लिए थीं।
  • Chrome के ब्लॉक से पहले, प्रभावित छह इंटरमीडिएट प्रमाणपत्रों से जुड़ने वाले कोई TLS प्रमाणपत्र सार्वजनिक रूप से लॉग नहीं किए गए थे; प्रमाणपत्र-पारदर्शिता प्रवर्तन से बाहर संभावित जोखिम की स्थिति अनिश्चित बनी हुई है।
  • Chrome की नियोजित रूट-हटाने की कार्रवाई से वैध प्रमाणपत्र भी बाधित हो सकते हैं, इसलिए प्रभावित वेबसाइट संचालकों को उन्हें बदलना होगा।

विषय-सूची

eMudhra प्रमाणपत्र की खामी ने भरोसे को कैसे प्रभावित किया

भारत-स्थित प्रमाणपत्र प्राधिकरण की प्रभावित कुंजियाँ 30 अप्रैल, 2025 को बनाई गई थीं। Mozilla के इंजीनियर Dennis Jackson ने बताया कि सभी आठ कुंजियों में 256 से छोटे पूर्णांक इस्तेमाल किए गए थे। इस कारण उन्हें लगभग तुरंत पुनः प्राप्त किया जा सकता था, जबकि सुरक्षित क्रिप्टोग्राफिक कुंजियों में अपेक्षित यादृच्छिकता होनी चाहिए।

Mozilla ने 17 अक्टूबर को स्वतंत्र रूप से कुंजियाँ पुनः प्राप्त कर शोधकर्ता के निष्कर्षों की पुष्टि की। प्रभावित TLS साइनिंग कुंजियों पर कब्ज़ा होने से हमलावर ऐसे क्लाइंटों के लिए वेबसाइटों का प्रतिरूपण करने वाले जाली प्रमाणपत्र बना सकते थे, जो अब भी उन प्राधिकरणों पर भरोसा करते थे।

मूल कारण के अपने विवरण में eMudhra ने समस्या का कारण एक कुंजी-निर्माण स्क्रिप्ट को बताया, जिसने मिलते-जुलते लेबल वाला दूसरा, कमजोर कुंजी-युग्म बनाया था। प्रमाणपत्र साइनिंग अनुरोध के लिए गलती से उसी युग्म का इस्तेमाल किया गया और प्रक्रिया के कई चरणों में मानवीय त्रुटियाँ हुईं।

पक्षविवरण
Chrome17 अक्टूबर, 2026 को प्रभावित सार्वजनिक कुंजियों को ब्लॉक किया।
Firefox17 अक्टूबर को 22:59 UTC पर OneCRL ब्लॉक पूरा किया।
eMudhra18 अक्टूबर को आठ प्रभावित प्रमाणपत्रों को निरस्त चिह्नित किया।
Apple19 अक्टूबर को ब्लॉक लागू किया।
Microsoft20 अक्टूबर को ब्लॉक लागू किया।

आपातकालीन ब्लॉकों ने क्या स्थापित किया—और क्या नहीं

Chrome ने अपने CRLSet तंत्र के ज़रिए प्रभावित सार्वजनिक कुंजियों को ब्लॉक किया, जिससे ब्राउज़र अपडेट या रीस्टार्ट की आवश्यकता के बिना उपयोगकर्ताओं की सुरक्षा हुई। Firefox ने उसी दिन OneCRL ब्लॉक लागू किया, जबकि eMudhra ने बाद में आठ प्रमाणपत्रों को निरस्त कर दिया।

Google ने कहा कि ब्लॉक की कार्रवाई से पहले, प्रभावित छह इंटरमीडिएट प्रमाणपत्रों से जुड़ने वाले कोई TLS प्रमाणपत्र Certificate Transparency लॉग में नहीं दिखे। इसलिए उसके अनुसार, उन प्राधिकरणों के जाली प्रमाणपत्रों का इस्तेमाल उन क्लाइंटों के विरुद्ध नहीं किया जा सकता था जो इन लॉगिंग आवश्यकताओं को लागू करते हैं—जिनमें Chrome भी शामिल है।

इस निष्कर्ष से यह स्थापित नहीं होता कि कहीं और इन कुंजियों का दुरुपयोग हुआ था या नहीं। गैर-ब्राउज़र सॉफ़्टवेयर आवश्यक रूप से प्रमाणपत्र-पारदर्शिता लागू नहीं करता और न ही उसे समकक्ष ब्लॉक अपडेट मिलते हैं; इसलिए पहले हुए किसी जोखिम का दायरा स्पष्ट नहीं है।

व्यापक रूट-हटाने की कार्रवाई से प्रमाणपत्र बदलने की समय-सीमा तय

Google की Chrome और Android सुरक्षा संबंधी घोषणा में Chrome Root Store से emSign ECC Root CA – G3 को हटाने का भी उल्लेख था। इसका व्यापक रोलआउट 27 अक्टूबर, 2026 को अपेक्षित था, जबकि प्री-रिलीज़ चैनलों पर यह इससे पहले उपलब्ध होना था।

यह व्यापक कार्रवाई इसलिए महत्वपूर्ण है क्योंकि इस रूट से जुड़ने वाले कुछ वैध प्रमाणपत्र भी Chrome में काम करना बंद कर देंगे। Google ने कहा कि प्रभावित वेबसाइट संचालकों को उसके रूट स्टोर में शामिल किसी अन्य पदानुक्रम से नए TLS प्रमाणपत्र प्राप्त कर उन्हें इंस्टॉल करना होगा। साथ ही, eMudhra ने ग्राहकों को इस बदलाव में मदद करने की प्रतिबद्धता जताई थी।

Google ने यह भी कहा कि वह जाँच कर रहा था कि eMudhra के शेष प्रमाणपत्र प्राधिकरणों को Chrome Root Store में शामिल रखा जाना चाहिए या नहीं। यह समीक्षा जारी थी; eMudhra के सभी प्राधिकरणों को हटाने की कार्रवाई पूरी नहीं हुई थी।

निष्कर्ष

तत्काल प्रमाणपत्र ब्लॉकों ने ज्ञात कमजोर कुंजियों की समस्या का समाधान किया, लेकिन व्यापक सुधार की प्रक्रिया जारी थी। अगला निर्धारित पड़ाव 27 अक्टूबर को Chrome के रूट-हटाने के रोलआउट का था; इससे उन वैध वेबसाइटों पर असर पड़ सकता था जिन्होंने हटाए जा रहे रूट से जुड़े प्रमाणपत्र नहीं बदले थे।

और समाचार पढ़ें

FinanceVelix की और खबरें

अस्वीकरण

FinanceVelix का यह लेख सामान्य जानकारी देता है, व्यक्तिगत वित्तीय, निवेश, कानूनी या कर संबंधी सलाह नहीं। बाज़ार कीमतें, ब्याज दरें और आर्थिक परिस्थितियाँ बदल सकती हैं; निवेश में नुकसान का जोखिम होता है। तथ्य प्रकाशन के समय उपलब्ध सामग्री पर आधारित हैं और बदल सकते हैं। महत्वपूर्ण जानकारी की स्वतंत्र रूप से पुष्टि करें और आवश्यकता पड़ने पर किसी योग्य पेशेवर से परामर्श लें। किसी परिसंपत्ति, कंपनी या सेवा का उल्लेख समर्थन या अनुशंसा नहीं है।