بھارتی سرٹیفکیٹ اتھارٹی eMudhra کی آٹھ متاثرہ دستخطی کلیدوں نے براؤزر کے تحفظ اور ویب سائٹس اور ٹریڈنگ ٹولز کے پسِ پشت چلنے والے سافٹ ویئر کے درمیان موجود خلا کو بے نقاب کر دیا ہے۔ اکیس اکتوبر تک بڑے براؤزر بنانے والوں نے متاثرہ سرٹیفکیٹس کو بلاک کر دیا تھا، لیکن کچھ غیر براؤزر پروگرام اب بھی جعلی اسناد قبول کر سکتے تھے، کیونکہ وہ یہ جانچ نہیں کرتے کہ سرٹیفکیٹس منسوخ کیے جا چکے ہیں یا نہیں۔
اہم نکات
- محققین نے آٹھ کمزور نجی کلیدیں حاصل کیں، جنہیں قابلِ اعتماد ویب سائٹس کی نقالی کرنے والے سرٹیفکیٹس پر دستخط کرنے کے لیے استعمال کیا جا سکتا تھا۔
- براؤزر بنانے والوں نے متاثرہ سرٹیفکیٹس کو بلاک کر دیا، لیکن صرف منسوخی ایسے سافٹ ویئر کو تحفظ نہیں دیتی جو اس کی کبھی جانچ ہی نہیں کرتا۔
- کرپٹو حملوں کی کوئی اطلاع نہیں ملی؛ تشویش انٹرنیٹ کے وسیع تر حصے میں پرانے سافٹ ویئر تک پھیلی ہوئی ہے۔
فہرستِ مضامین
- eMudhra کی کلیدوں کے افشا کے بعد کہاں خطرہ باقی ہے
- کون سے تحفظات صارفین تک پہنچ چکے تھے؟
- کمزور کلیدوں نے ویب سائٹ کی تصدیق کو کیسے کمزور کیا
- ٹریڈنگ سافٹ ویئر کو الگ سے توجہ دینے کی ضرورت کیوں ہے
- نتیجہ
eMudhra کی کلیدوں کے افشا کے بعد کہاں خطرہ باقی ہے
اہم فرق سرٹیفکیٹ واپس لینے اور اس بات کو یقینی بنانے میں ہے کہ سافٹ ویئر اس پر اعتماد کرنے سے انکار کرے۔ eMudhra نے متاثرہ سرٹیفکیٹس منسوخ کر دیے، لیکن سکیورٹی محقق Scott Helme نے خبردار کیا کہ اس اقدام سے ان پروگراموں کو کوئی تحفظ نہیں ملتا جو منسوخی کی حیثیت کی جانچ نہیں کرتے۔
Helme نے بتایا کہ ان کے ٹیسٹ میں curl، Python، Node، Go اور Java نے Stripe کے API کے لیے جعلی سرٹیفکیٹ قبول کر لیا۔ یہ سرٹیفکیٹ قبول کیے جانے کا مظاہرہ تھا، Stripe کے ہیک ہونے کا ثبوت نہیں۔
جعلی سرٹیفکیٹ کسی نیٹ ورک پر موجود مداخلت کار کو قابلِ اعتماد سروس کی نقالی کرنے اور ٹریفک پڑھنے یا اس میں تبدیلی کرنے کی اجازت دے سکتا ہے۔ براؤزرز میں بلاک لگانے سے محفوظ براؤزرز کے لیے اس راستے کو روکا جاتا ہے؛ اس سے یہ ثابت نہیں ہوتا کہ ہر علیحدہ ایپلیکیشن یا بیک اینڈ کو بھی یکساں تحفظ مل چکا ہے۔
| شے | تفصیلات |
|---|---|
| Mozilla اور Chrome | دونوں نے سترہ اکتوبر کو متاثرہ سرٹیفکیٹس بلاک کر دیے؛ Mozilla نے رپورٹ کے تقریباً تین گھنٹے بعد یہ قدم اٹھایا۔ |
| Apple | اس نے انیس اکتوبر کو اپنا ردِعمل دیا۔ |
| Microsoft | اس نے بیس اکتوبر کو یہ قدم اٹھایا۔ |
| سرٹیفکیٹ کی منسوخی | eMudhra نے متاثرہ سرٹیفکیٹس منسوخ کر دیے، لیکن اس اقدام سے فائدہ اٹھانے کے لیے سافٹ ویئر کو منسوخی کی جانچ کرنا ضروری ہے۔ |
| غیر براؤزر سافٹ ویئر کے لیے دستیاب اصلاحات | Go، Python کے certifi پیکیج اور Rust کے webpki-roots کے لیے اصلاحات دستیاب تھیں۔ |
| Node.js | اکیس اکتوبر تک اصلاح زیرِ التوا تھی۔ |
کون سے تحفظات صارفین تک پہنچ چکے تھے؟
سترہ اکتوبر کو Wayne نامی ایک محقق کی جانب سے براؤزر بنانے والوں کو خبردار کرنے کے بعد کارروائی شروع ہوئی۔ اس نے اپنی تنبیہ پر ڈیجیٹل دستخط کرنے کے لیے تمام آٹھ متاثرہ کلیدوں پر اپنے کنٹرول کا مظاہرہ کیا۔ اصلاحات کی دستیابی سے یہ ثابت نہیں ہوتا کہ ہر تنصیب کو اپ ڈیٹ کر دیا گیا تھا۔
کمزور کلیدوں نے ویب سائٹ کی تصدیق کو کیسے کمزور کیا
سرٹیفکیٹ اتھارٹیز وہ اسناد فراہم کرتی ہیں جنہیں براؤزر ویب سائٹس کی شناخت کی تصدیق کے لیے استعمال کرتے ہیں۔ اس لیے ان کی نجی دستخطی کلیدوں کی ذمہ داری عام ویب سائٹ کے پاس ورڈ سے مختلف ہوتی ہے: متاثرہ دستخطی کلید کو دوسری سائٹس کے لیے بظاہر مستند سرٹیفکیٹس بنانے میں استعمال کیا جا سکتا ہے۔
Helme کے مطابق، انہوں نے عوامی سرٹیفکیٹس سے تمام آٹھ کلیدیں ایک سیکنڈ سے بھی کم وقت میں حاصل کر لیں۔ ان کی شناخت کردہ نجی کلیدوں کی قدروں میں 4 اور 56 بھی شامل تھیں، جو ظاہر کرتی ہیں کہ ان کلیدوں کو حاصل کرنے میں کتنی کم مزاحمت درکار تھی۔ ان کا کہنا تھا کہ یہ اپریل 2025 سے افشا تھیں۔
Mozilla کے بگ ٹکٹ کے Helme کے مطالعے کے مطابق، eMudhra نے اس کی وجہ اپنی کلیدوں کی ترتیب دینے والی اسکرپٹ میں ایک بگ کو قرار دیا۔
ٹریڈنگ سافٹ ویئر کو الگ سے توجہ دینے کی ضرورت کیوں ہے
کرپٹو صارفین کے لیے خطرہ صرف براؤزر میں ایکسچینج کھولنے تک محدود نہیں۔ ایکسچینج بوٹس، ٹریڈنگ اسکرپٹس اور والیٹ بیک اینڈ متاثرہ غیر براؤزر سافٹ ویئر پر انحصار کر سکتے ہیں۔ نظری طور پر، ایکسچینج API کا جعلی سرٹیفکیٹ اسی نیٹ ورک پر موجود حملہ آور کو بوٹ کی ٹریفک میں مداخلت کرنے یا اسے تبدیل کرنے کی اجازت دے سکتا ہے۔
کرپٹو حملوں کی کوئی اطلاع نہیں ملی۔ Polygon Labs کے چیف ٹیکنالوجی افسر Mudit Gupta نے کہا کہ یہ کمزوری کرپٹو سے مخصوص نہیں بلکہ سافٹ ویئر سکیورٹی کا عمومی مسئلہ تھی، اور پرانا یا غیر اپ ڈیٹ شدہ سافٹ ویئر خاص طور پر تشویش کا باعث تھا۔ ان کے مطابق، جو صارفین اپنے والیٹس، ٹریڈنگ ٹولز اور آلات کو اپ ڈیٹ رکھتے ہیں، انہیں کم خطرہ درپیش تھا۔
نتیجہ
براؤزرز کے ردِعمل نے سرٹیفکیٹ کے ذریعے نقالی کا فوری راستہ بند کر دیا، لیکن سافٹ ویئر کے وسیع تر مسئلے کو حل نہیں کیا۔ باقی ماندہ خطرہ اس بات پر منحصر ہے کہ آیا انفرادی ٹولز متاثرہ اسناد کو مسترد کرتے ہیں یا نہیں—صرف اس بات پر نہیں کہ جاری کنندہ نے انہیں منسوخ کیا ہے۔
مزید خبریں پڑھیں
دستبرداری
FinanceVelix کا یہ مضمون عمومی معلومات فراہم کرتا ہے، ذاتی نوعیت کا مالی، سرمایہ کاری، قانونی یا ٹیکس مشورہ نہیں۔ مارکیٹ کی قیمتیں، شرحِ سود اور معاشی حالات تبدیل ہو سکتے ہیں؛ سرمایہ کاری میں نقصان کا خطرہ ہوتا ہے۔ حقائق اشاعت کے وقت دستیاب مواد کی عکاسی کرتے ہیں اور تبدیل ہو سکتے ہیں۔ اہم معلومات کی آزادانہ طور پر تصدیق کریں اور ضرورت پڑنے پر کسی مستند ماہر سے مشورہ لیں۔ کسی اثاثے، کمپنی یا سروس کا ذکر توثیق نہیں ہے۔
