eMudhra سرٹیفکیٹ کی خامی سے بلاکس اور روٹ سرٹیفکیٹ کی منسوخی کا فیصلہ

eMudhra سرٹیفکیٹ کی خامی کے بعد Google، Mozilla، Apple اور Microsoft نے 17 سے 20 اکتوبر 2026 کے درمیان متاثرہ سرٹیفکیٹس کو بلاک کر دیا۔ یہ کارروائی اس وقت ہوئی جب محققین نے آٹھ درمیانی سرٹیفکیٹس کی نجی دستخطی کلیدیں بازیافت کر لیں۔ Google نے eMudhra کے ایک روٹ سرٹیفکیٹ کو وسیع پیمانے پر ہٹانے کا اعلان بھی کیا، جس کا Chrome Root Store پر انحصار کرنے والے آلات میں اجرا 27 اکتوبر کو متوقع ہے۔

اہم نکات

• آٹھ درمیانی سرٹیفکیٹس کی نجی کلیدیں آسانی سے بازیافت کی جا سکتی تھیں: چھ ویب سائٹ سکیورٹی کے لیے اور دو کوڈ سائننگ کے لیے تھیں۔
• Chrome کے بلاک سے پہلے متاثرہ چھ درمیانی سرٹیفکیٹس سے منسلک کوئی TLS سرٹیفکیٹ عوامی طور پر لاگ نہیں ہوا تھا؛ سرٹیفکیٹ ٹرانسپیرنسی کے نفاذ سے باہر انکشاف کی حد غیر یقینی ہے۔
• Chrome کی مجوزہ روٹ سرٹیفکیٹ ہٹانے کی کارروائی سے جائز سرٹیفکیٹس بھی متاثر ہو سکتے ہیں، جس کے لیے متاثرہ ویب سائٹ آپریٹرز کو انہیں تبدیل کرنا ہوگا۔

فہرستِ مضامین

• eMudhra سرٹیفکیٹ کی خامی نے اعتماد کو کیسے متاثر کیا
• ہنگامی بلاکس سے کیا ثابت ہوا—اور کیا نہیں
• وسیع تر روٹ سرٹیفکیٹ کی منسوخی سے تبدیلی کی آخری تاریخ مقرر
• نتیجہ

eMudhra سرٹیفکیٹ کی خامی نے اعتماد کو کیسے متاثر کیا

بھارت میں قائم سرٹیفکیٹ اتھارٹی کی متاثرہ کلیدیں 30 اپریل 2025 کو تیار کی گئی تھیں۔ Mozilla کے انجینئر Dennis Jackson نے کہا کہ آٹھوں کلیدوں میں 256 سے چھوٹے عدد استعمال کیے گئے تھے، جس کے باعث وہ تقریباً فوراً بازیافت کی جا سکتی تھیں، جبکہ محفوظ کرپٹوگرافک کلیدوں سے متوقع بے ترتیبی ان میں موجود نہیں تھی۔

Mozilla نے 17 اکتوبر کو آزادانہ طور پر کلیدیں بازیافت کر کے محقق کے نتائج کی تصدیق کی۔ متاثرہ TLS دستخطی کلیدوں کا حصول کسی حملہ آور کو ایسے کلائنٹس کے لیے ویب سائٹس کی نقالی کرنے والے جعلی سرٹیفکیٹس بنانے کی اجازت دے سکتا تھا جو اب بھی ان اتھارٹیز پر اعتماد کرتے تھے۔

وجہ کی وضاحت میں eMudhra نے مسئلے کا سبب ایک کلید سازی کے اسکرپٹ کو قرار دیا، جس نے ملتے جلتے لیبل کے ساتھ کلیدوں کا دوسرا، کمزور جوڑا تیار کیا تھا۔ سرٹیفکیٹ سائننگ ریکویسٹ کے لیے غلطی سے اسی جوڑے کا استعمال ہوا، اور اس عمل کے کئی مراحل میں انسانی غلطیاں ہوئیں۔

ہنگامی بلاکس سے کیا ثابت ہوا—اور کیا نہیں

Chrome نے CRLSet طریقۂ کار کے ذریعے متاثرہ عوامی کلیدیں بلاک کیں، جس سے براؤزر اپ ڈیٹ یا ری اسٹارٹ کیے بغیر صارفین کو تحفظ ملا۔ Firefox نے اسی دن OneCRL بلاک نافذ کیا، جبکہ eMudhra نے بعد میں آٹھوں سرٹیفکیٹس منسوخ کر دیے۔

Google نے کہا کہ بلاک کرنے کی کارروائی سے پہلے Certificate Transparency لاگز میں متاثرہ چھ درمیانی سرٹیفکیٹس سے منسلک کوئی TLS سرٹیفکیٹ موجود نہیں تھا۔ اس لیے اس کے مطابق ان اتھارٹیز کے جعلی سرٹیفکیٹس ایسے کلائنٹس کے خلاف استعمال نہیں کیے جا سکتے تھے جو ان لاگنگ تقاضوں پر عمل کرتے ہیں، بشمول Chrome۔

اس نتیجے سے یہ ثابت نہیں ہوتا کہ کلیدوں کا کہیں اور غلط استعمال ہوا یا نہیں۔ غیر براؤزر سافٹ ویئر لازماً سرٹیفکیٹ ٹرانسپیرنسی نافذ نہیں کرتا یا مساوی بلاکنگ اپ ڈیٹس وصول نہیں کرتا، اس لیے پہلے ہونے والے کسی بھی انکشاف کی حد غیر واضح ہے۔

وسیع تر روٹ سرٹیفکیٹ کی منسوخی سے تبدیلی کی آخری تاریخ مقرر

Google کے Chrome اور Android کے تحفظ سے متعلق اعلان میں Chrome Root Store سے emSign ECC Root CA – G3 کو ہٹانے کی تفصیل بھی شامل تھی۔ وسیع پیمانے پر اجرا 27 اکتوبر 2026 کو متوقع تھا، جبکہ پری ریلیز چینلز پر یہ پہلے دستیاب ہونے کی توقع تھی۔

یہ وسیع تر اقدام اہم ہے، کیونکہ اس روٹ سرٹیفکیٹ سے منسلک کچھ جائز سرٹیفکیٹس بھی Chrome میں کام کرنا بند کر دیں گے۔ Google نے کہا کہ متاثرہ ویب سائٹ آپریٹرز کو اس کے روٹ اسٹور میں شامل کسی دوسری درجہ بندی سے متبادل TLS سرٹیفکیٹس حاصل کر کے انسٹال کرنے ہوں گے، اور eMudhra نے صارفین کی منتقلی میں مدد دینے کا عہد کیا ہے۔

Google نے یہ بھی کہا کہ وہ اس بات کی جانچ کر رہا ہے کہ آیا eMudhra کی باقی سرٹیفکیٹ اتھارٹیز کو Chrome Root Store میں شامل رہنا چاہیے۔ یہ جائزہ جاری تھا؛ eMudhra کی تمام اتھارٹیز کو ہٹانے کا فیصلہ مکمل نہیں ہوا تھا۔

نتیجہ

فوری سرٹیفکیٹ بلاکس نے معلوم کمزور کلیدوں کا مسئلہ حل کیا، لیکن وسیع تر اصلاحی کارروائیاں ابھی جاری تھیں۔ اگلا طے شدہ مرحلہ Chrome کی جانب سے 27 اکتوبر کو روٹ سرٹیفکیٹ ہٹانے کا اجرا تھا، جس سے وہ جائز ویب سائٹس متاثر ہو سکتی تھیں جنہوں نے ہٹائے جانے والے روٹ سے منسلک سرٹیفکیٹس تبدیل نہیں کیے تھے۔

مزید خبریں پڑھیں

FinanceVelix کی مزید خبریں

دستبرداری

یہ FinanceVelix مضمون عمومی معلومات فراہم کرتا ہے، ذاتی نوعیت کا مالی، سرمایہ کاری، قانونی یا ٹیکس سے متعلق مشورہ نہیں۔ مارکیٹ کی قیمتیں، شرحِ سود اور معاشی حالات تبدیل ہو سکتے ہیں؛ سرمایہ کاری میں نقصان کا خطرہ ہوتا ہے۔ حقائق اشاعت کے وقت دستیاب مواد کی عکاسی کرتے ہیں اور تبدیل ہو سکتے ہیں۔ اہم معلومات کی خود تصدیق کریں اور ضرورت پڑنے پر کسی مستند ماہر سے مشورہ لیں۔ کسی اثاثے، کمپنی یا خدمت کا ذکر توثیق نہیں ہے۔