eMudhra की आठ कुंजियाँ उजागर—Firefox ने तीन घंटे में भरोसा रोका

भारतीय प्रमाणपत्र प्राधिकरण eMudhra के आठ मध्यवर्ती प्रमाणपत्रों की निजी कुंजियाँ उजागर होने की सूचना Mozilla को 17 अक्टूबर 2026 को 20:06 UTC पर मिली; इनमें वेबसाइटों के लिए छह TLS और सॉफ़्टवेयर हस्ताक्षर के दो प्रमाणपत्र थे, तथा Mozilla की घटना-समयरेखा के मुताबिक Firefox ने 22:59 UTC तक OneCRL के जरिए प्रभावित TLS प्रमाणपत्रों पर भरोसा रोक दिया, यानी तीन घंटे से कम समय में। सामान्य विन्यास वाले Firefox उपयोगकर्ताओं तक यह रोक ब्राउज़र को अद्यतन या दोबारा शुरू किए बिना पहुँची।

20 अक्टूबर को प्रकाशित और 21 अक्टूबर को अद्यतन eMudhra के घटना-वक्तव्य में कंपनी ने कहा कि प्रभावित आठ मध्यवर्ती प्राधिकरणों में केवल एक उत्पादन में था और किसी ने भी अंतिम-इकाई प्रमाणपत्र जारी नहीं किया था; उसने लिखा, “We acknowledge this incident and take full responsibility for it.” मौजूदा ग्राहक प्रमाणपत्रों पर सीधा असर इसलिए सीमित है, लेकिन कमजोर कुंजी से बनाया गया जाली प्रमाणपत्र उस अनुप्रयोग के लिए खतरा हो सकता है जो अब भी संबंधित प्रमाणपत्र-शृंखला को भरोसेमंद मानता है।

प्रभावित प्रमाणपत्रों का दायरा

वेबसाइटों से जुड़ा समूह डोमेन, संगठन और विस्तारित सत्यापन वाले G3B तथा G3C मध्यवर्ती प्राधिकरणों का था। अलग समूह सॉफ़्टवेयर के कोड हस्ताक्षर से संबंधित था। यह भेद जरूरी है: सामान्य HTTPS कनेक्शन में वेबसाइट की पहचान TLS शृंखला से जाँची जाती है, जबकि कोड हस्ताक्षर का सवाल किसी प्रोग्राम के प्रकाशक की डिजिटल पहचान से जुड़ता है। Firefox की त्वरित रोक का मुख्य उपयोग वेबसाइट की पहचान पर भरोसे को नियंत्रित करना था।

मध्यवर्ती प्राधिकरण की निजी कुंजी किसी खास वेबसाइट की निजी कुंजी से अलग होती है। प्राधिकरण इस कुंजी से वेबसाइटों के लिए नए प्रमाणपत्रों पर हस्ताक्षर कर सकता है; गलत हाथ में जाने पर वही क्षमता मनचाहे डोमेन के नाम से जाली प्रमाणपत्र बनाने में इस्तेमाल हो सकती है। कमजोर कुंजियों को उनके प्रकाशित सार्वजनिक हिस्से से निकाला जा सकता था, इसलिए खतरा केवल उस व्यक्ति तक सीमित नहीं था जिसने मूल निर्माण प्रक्रिया में हिस्सा लिया था। वास्तविक ग्राहक प्रमाणपत्र जारी न होने से ब्राउज़र की रोक अनावश्यक नहीं हो जाती।

HTTPS पर जोखिम और सीमित ग्राहक असर साथ कैसे संभव हैं

जाली HTTPS प्रमाणपत्र का खतरा उस स्थिति में पैदा होता है जब हमलावर उपयोगकर्ता का कनेक्शन अपने रास्ते से गुजार सके और जाँच करने वाला अनुप्रयोग कमजोर मध्यवर्ती प्राधिकरण को स्वीकार कर ले। तब वह वैध वेबसाइट बनकर सामने आ सकता है और भेजा गया डेटा पढ़ या बदल सकता है। अद्यतन ब्राउज़र में प्रभावित शृंखला अस्वीकार होने से यह रास्ता बंद होता है; पुराना या अपना प्रमाणपत्र-भंडार इस्तेमाल करने वाला अनुप्रयोग वही फैसला नहीं भी कर सकता।

किसी अंतिम-इकाई प्रमाणपत्र के जारी न होने का मतलब है कि नियमित जारीकरण से मिले ग्राहक प्रमाणपत्र प्रभावित मध्यवर्ती प्राधिकरणों पर निर्भर नहीं थे। ब्राउज़र की रोक अलग समस्या हल करती है: कमजोर निजी कुंजी जानने वाला व्यक्ति नियमित जारीकरण प्रक्रिया के बाहर भी हस्ताक्षर बना सकता था। ग्राहक प्रभाव और संभावित दुरुपयोग का आकलन इसीलिए अलग-अलग करना पड़ता है। सार्वजनिक विवरण में खुलासे से पहले इन कुंजियों के दुरुपयोग का प्रमाण सामने नहीं आया है।

भारत में eMudhra की डिजिटल हस्ताक्षर और eSign सेवाएँ दूसरी व्यवस्था पर चलती हैं; प्रभावित सार्वजनिक भरोसे वाली प्रमाणपत्र-शृंखला को उन सेवाओं के बराबर मानना गलत होगा। वहीं भारत का कोई उपयोगकर्ता विदेश की वेबसाइट से जुड़े HTTPS कनेक्शन में भी इस जोखिम का सामना कर सकता था, यदि उसका अनुप्रयोग प्रभावित शृंखला पर भरोसा करता और हमलावर कनेक्शन रोक पाता। स्थान से ज्यादा महत्त्व प्रमाणपत्र जाँचने वाले सॉफ़्टवेयर और उसके भरोसा-भंडार का है।

Firefox, NSS और निजी भरोसा-भंडार में किसे अद्यतन चाहिए

सामान्य Firefox विन्यास में OneCRL दूर से पहुँच चुका था; उस सुरक्षा के लिए उपयोगकर्ता को तत्काल नया ब्राउज़र स्थापित करने की आवश्यकता नहीं पड़ी। जिन विशेष सेटिंग के कारण दूरस्थ सूची नहीं पहुँची, उनके लिए सुरक्षा समेटने वाले Firefox अद्यतन जारी हुए हैं। ऐसे उपयोगकर्ता और पुराने संस्करण पर रुके उपकरण नए संस्करण से सुरक्षा निर्णय पाएँगे। नियमित अद्यतन लगाना इसलिए उचित है, भले मानक विन्यास वाला ब्राउज़र पहले ही प्रभावित मध्यवर्ती प्रमाणपत्र अस्वीकार कर रहा हो।

NSS पर आधारित अनुप्रयोग के लिए फैसला थोड़ा अलग है। Firefox का OneCRL संदेश उस अनुप्रयोग तक अपने आप नहीं पहुँचता जो Mozilla के भरोसा-भंडार का इस्तेमाल तो करता है, लेकिन Firefox की दूरस्थ रोक-सूची नहीं लेता। NSS की भरोसा-सूची से संबंधित मूल प्रमाणपत्र हटाने वाला अद्यतन ऐसे अनुप्रयोग तक तभी असर पहुँचाएगा जब उसका वास्तविक NSS घटक या साथ भेजी गई भरोसा-सूची बदले। केवल उसी मशीन पर Firefox खोलकर वेबसाइट चल जाने से उस अनुप्रयोग की HTTPS जाँच सुरक्षित सिद्ध नहीं होती।

अपना प्रमाणपत्र-भंडार रखने वाले पुराने क्लाइंट, मोबाइल अनुप्रयोग या सर्वर पर चलने वाली सेवा को अलग देखना पड़ता है। उसका HTTPS सत्यापन ऑपरेटिंग सिस्टम, अपनी लाइब्रेरी या साथ पैक किए गए प्रमाणपत्रों पर निर्भर हो सकता है। प्रशासक के लिए उपयोगी सवाल ब्राउज़र का नाम नहीं, बल्कि यह है कि संबंधित सेवा वास्तव में किस घटक से प्रमाणपत्र स्वीकार करती है और उस घटक तक रोक या भरोसा-सूची का नया संस्करण पहुँचा है या नहीं। प्रमाणपत्र त्रुटि मिलने पर जाँच बंद करना सुरक्षा उपाय को ही हटा देगा।

Chrome का अगला बदलाव वेबसाइटों को कैसे प्रभावित करेगा

Google की Chrome सुरक्षा सूचना के अनुसार, प्रभावित कुंजियों को ब्राउज़र की रोक-सूची में डालने के बाद emSign ECC Root CA - G3 को Chrome Root Store से हटाने का निर्णय हुआ है और यह बदलाव 27 अक्टूबर 2026 को उस भंडार पर निर्भर उपकरणों तक व्यापक रूप से पहुँचने की अपेक्षा है। मूल प्राधिकरण हटने पर उसी से जुड़ी कुछ वैध वेबसाइट शृंखलाएँ भी Chrome में स्वीकार नहीं होंगी। तत्काल जाली प्रमाणपत्र रोकने और बाद में वैध साइटों पर संभावित रुकावट, एक ही घटना के अलग परिणाम हैं।

वेबसाइट संचालक को अपनी चालू TLS प्रमाणपत्र-शृंखला का मूल देखना होगा। अगर वह हटाए जा रहे मूल प्राधिकरण तक जाती है, तो दूसरे सार्वजनिक रूप से भरोसेमंद क्रम से नया प्रमाणपत्र लगाना पड़ेगा; मौजूदा प्रमाणपत्र का स्वयं वैध होना पर्याप्त नहीं होगा। प्रभावित अमेरिकी ग्राहक व्यवस्था के प्रमाणपत्र बदलने की प्रक्रिया चल रही है। यदि साइट की शृंखला बदलाव लागू होने तक नहीं बदली, तो Chrome में सुरक्षित कनेक्शन रुक सकता है।

यह भी पढ़ें:

• AI पर 90% भरोसा, पहली कोशिश में सफलता सिर्फ 24.6%
• YouTube CPM बढ़ा, कमाई नहीं? असली जवाब RPM और विज्ञापन वाले व्यू में है
• घर से काम में उत्पादकता चाहिए? निगरानी नहीं, भरोसा और संवाद पहले रखें