भारतीय प्रमाणपत्र प्राधिकरण eMudhra की आठ समझौता की गई हस्ताक्षर कुंजियों ने ब्राउज़र सुरक्षा और वेबसाइटों तथा ट्रेडिंग टूल के पीछे चलने वाले सॉफ़्टवेयर के बीच की खामी उजागर की है। इक्कीस अक्टूबर तक, प्रमुख ब्राउज़र निर्माताओं ने प्रभावित प्रमाणपत्रों को ब्लॉक कर दिया था, लेकिन कुछ गैर-ब्राउज़र प्रोग्राम अब भी जाली क्रेडेंशियल स्वीकार कर सकते थे, क्योंकि वे यह जाँच नहीं करते कि प्रमाणपत्र रद्द किए गए हैं या नहीं।
मुख्य निष्कर्ष
- शोधकर्ताओं ने आठ कमज़ोर निजी कुंजियाँ प्राप्त कीं, जिनका इस्तेमाल भरोसेमंद वेबसाइटों का रूप धारण करने वाले प्रमाणपत्रों पर हस्ताक्षर करने के लिए किया जा सकता था।
- ब्राउज़र निर्माताओं ने प्रभावित प्रमाणपत्रों को ब्लॉक कर दिया, लेकिन केवल रद्द करना ऐसे सॉफ़्टवेयर की रक्षा नहीं करता जो इसकी जाँच ही नहीं करता।
- क्रिप्टो पर किसी हमले की सूचना नहीं मिली थी; चिंता व्यापक इंटरनेट पर पुराने सॉफ़्टवेयर तक फैली हुई है।
विषय-सूची
- eMudhra की कुंजी में सेंध के बाद जोखिम कहाँ बना हुआ है
- कौन-सी सुरक्षा उपयोगकर्ताओं तक पहुँची थी?
- कमज़ोर कुंजियों ने वेबसाइट सत्यापन को कैसे कमज़ोर किया
- ट्रेडिंग सॉफ़्टवेयर पर अलग से ध्यान देना क्यों ज़रूरी है
- निष्कर्ष
eMudhra की कुंजी में सेंध के बाद जोखिम कहाँ बना हुआ है
महत्वपूर्ण अंतर प्रमाणपत्र वापस लेने और यह सुनिश्चित करने के बीच है कि सॉफ़्टवेयर उस पर भरोसा करने से इनकार करे। eMudhra ने प्रभावित प्रमाणपत्र रद्द कर दिए, लेकिन सुरक्षा शोधकर्ता Scott Helme ने चेतावनी दी कि यह कदम उन प्रोग्रामों को कोई सुरक्षा नहीं देता जो रद्दीकरण की स्थिति की जाँच नहीं करते।
Helme ने कहा कि उनके परीक्षणों में curl, Python, Node, Go और Java ने Stripe के API के लिए जाली प्रमाणपत्र स्वीकार किया। यह प्रमाणपत्र स्वीकार किए जाने का प्रदर्शन था, इस बात का सबूत नहीं कि Stripe पर सेंध लगी थी।
जाली प्रमाणपत्र नेटवर्क के बीच में मौजूद किसी हमलावर को किसी भरोसेमंद सेवा का रूप धारण करने और ट्रैफ़िक पढ़ने या उसमें बदलाव करने की अनुमति दे सकता है। ब्राउज़र ब्लॉक संरक्षित ब्राउज़रों के लिए इस रास्ते को बंद करते हैं; वे यह सुनिश्चित नहीं करते कि हर अलग ऐप्लिकेशन या बैकएंड को समान सुरक्षा मिली है।
| विवरण | जानकारी |
|---|---|
| Mozilla और Chrome | दोनों ने सत्रह अक्टूबर को प्रभावित प्रमाणपत्रों को ब्लॉक किया; Mozilla ने रिपोर्ट के लगभग तीन घंटे बाद यह कदम उठाया। |
| Apple | उन्नीस अक्टूबर को इसकी प्रतिक्रिया आई। |
| Microsoft | बीस अक्टूबर को इसकी प्रतिक्रिया आई। |
| प्रमाणपत्र रद्दीकरण | eMudhra ने प्रभावित प्रमाणपत्र रद्द कर दिए, लेकिन इस कदम से लाभ पाने के लिए सॉफ़्टवेयर को रद्दीकरण की जाँच करनी होगी। |
| गैर-ब्राउज़र सुधार उपलब्ध | Go, Python के certifi पैकेज और Rust के webpki-roots के लिए सुधार उपलब्ध थे। |
| Node.js | इक्कीस अक्टूबर तक सुधार लंबित था। |
कौन-सी सुरक्षा उपयोगकर्ताओं तक पहुँची थी?
सत्रह अक्टूबर को Wayne नाम के एक शोधकर्ता द्वारा ब्राउज़र निर्माताओं को सचेत करने के बाद प्रतिक्रिया शुरू हुई। उन्होंने अपनी चेतावनी पर डिजिटल हस्ताक्षर करने के लिए सभी आठ समझौता की गई कुंजियों का इस्तेमाल कर उन पर नियंत्रण दिखाया। सुधार उपलब्ध होने का यह अर्थ नहीं था कि हर इंस्टॉलेशन अपडेट किया जा चुका था।
कमज़ोर कुंजियों ने वेबसाइट सत्यापन को कैसे कमज़ोर किया
प्रमाणपत्र प्राधिकरण वे क्रेडेंशियल उपलब्ध कराते हैं जिनका इस्तेमाल ब्राउज़र वेबसाइटों की पहचान सत्यापित करने के लिए करते हैं। इसलिए उनकी निजी हस्ताक्षर कुंजियों की ज़िम्मेदारी किसी सामान्य वेबसाइट पासवर्ड से अलग होती है: समझौता की गई हस्ताक्षर कुंजी का इस्तेमाल अन्य साइटों के लिए प्रामाणिक दिखने वाले प्रमाणपत्र बनाने में किया जा सकता है।
Helme ने कहा कि उन्होंने सार्वजनिक प्रमाणपत्रों से एक सेकंड से भी कम समय में सभी आठ कुंजियाँ प्राप्त कर लीं। उनके द्वारा पहचाने गए निजी-कुंजी मानों में 4 और 56 शामिल थे, जो दर्शाते हैं कि कुंजियों को हासिल करने के प्रयास के विरुद्ध उनका प्रतिरोध कितना कम था। उन्होंने कहा कि ये अप्रैल 2025 से उजागर थीं।
Mozilla के एक बग टिकट को Helme की व्याख्या के अनुसार, eMudhra ने इसके लिए अपनी कुंजी-सेटअप स्क्रिप्ट में मौजूद बग को ज़िम्मेदार ठहराया।
ट्रेडिंग सॉफ़्टवेयर पर अलग से ध्यान देना क्यों ज़रूरी है
क्रिप्टो उपयोगकर्ताओं के लिए जोखिम केवल ब्राउज़र में एक्सचेंज खोलने तक सीमित नहीं है। एक्सचेंज बॉट, ट्रेडिंग स्क्रिप्ट और वॉलेट बैकएंड प्रभावित गैर-ब्राउज़र सॉफ़्टवेयर पर निर्भर हो सकते हैं। सैद्धांतिक रूप से, एक्सचेंज API के जाली प्रमाणपत्र से उसी नेटवर्क पर मौजूद हमलावर बॉट के ट्रैफ़िक को रोक या बदल सकता है।
क्रिप्टो पर किसी हमले की सूचना नहीं मिली थी। Polygon Labs के मुख्य प्रौद्योगिकी अधिकारी Mudit Gupta ने कहा कि यह कमज़ोरी क्रिप्टो-विशिष्ट समस्या नहीं, बल्कि सामान्य सॉफ़्टवेयर-सुरक्षा समस्या थी; पुराने या पैच न किए गए सॉफ़्टवेयर से विशेष चिंता थी। उन्होंने कहा कि जो उपयोगकर्ता अपने वॉलेट, ट्रेडिंग टूल और डिवाइस अपडेट रखते हैं, उन्हें कम जोखिम का सामना करना पड़ता है।
निष्कर्ष
ब्राउज़र की प्रतिक्रिया ने प्रमाणपत्रों के ज़रिए किसी का रूप धारण करने का तात्कालिक रास्ता बंद कर दिया, लेकिन व्यापक सॉफ़्टवेयर समस्या का समाधान नहीं किया। बाकी जोखिम इस बात पर निर्भर करता है कि अलग-अलग टूल समझौता किए गए क्रेडेंशियल को अस्वीकार करते हैं या नहीं—सिर्फ़ इस पर नहीं कि प्रमाणपत्र जारीकर्ता ने उन्हें रद्द किया है।
और खबरें पढ़ें
अस्वीकरण
यह FinanceVelix लेख सामान्य जानकारी प्रदान करता है, व्यक्तिगत वित्तीय, निवेश, कानूनी या कर सलाह नहीं। बाज़ार भाव, ब्याज दरें और आर्थिक परिस्थितियाँ बदल सकती हैं; निवेश में नुकसान का जोखिम होता है। तथ्य प्रकाशन के समय उपलब्ध सामग्री पर आधारित हैं और बदल सकते हैं। महत्वपूर्ण जानकारी की स्वतंत्र रूप से जाँच करें और ज़रूरत पड़ने पर किसी योग्य पेशेवर से सलाह लें। किसी परिसंपत्ति, कंपनी या सेवा का उल्लेख समर्थन या अनुमोदन नहीं है।
