इंटरनेट पर सुरक्षित ब्राउज़िंग के लिए इस्तेमाल होने वाले डिजिटल सर्टिफिकेट में बड़ी सुरक्षा खामी सामने आई है। भारत की सर्टिफिकेट अथॉरिटी ईमुद्रा द्वारा जारी किए गए आठ इंटरमीडिएट सर्टिफिकेट में बेहद कमजोर क्रिप्टोग्राफिक Keys पाई गईं। इस चूक के कारण साइबर हमलावर भरोसेमंद वेबसाइटों के लिए फर्जी डिजिटल सर्टिफिकेट बनाने में सक्षम हो सकते थे। मामले की गंभीरता को देखते हुए Google, Apple और Mozilla जैसी प्रमुख टेक कंपनियों ने प्रभावित सर्टिफिकेट को ब्लॉक करने के कदम उठाए। Cloudflare और Go प्रोग्रामिंग भाषा की देखरेख करने वाली टीम ने भी सुरक्षा उपाय लागू किए।
यह मामला इसलिए महत्वपूर्ण है, क्योंकि डिजिटल सर्टिफिकेट इंटरनेट पर वेबसाइट की पहचान सत्यापित करने और यूजर तथा वेबसाइट के बीच सुरक्षित कनेक्शन बनाने में अहम भूमिका निभाते हैं। यदि इनकी सुरक्षा कमजोर हो जाए, तो यूजर्स को असली वेबसाइट जैसी दिखने वाली फर्जी वेबसाइट पर पहुंचाने और संवेदनशील जानकारी चुराने का खतरा पैदा हो सकता है।
सुरक्षा शोधकर्ता वेन ने 17 अक्टूबर को इस समस्या की जानकारी टेक कंपनियों को दी। उन्होंने यह दिखाने के लिए कि कमजोर Keys का इस्तेमाल करके डिजिटल हस्ताक्षर तैयार किए जा सकते हैं, emudhra.we-have-a-problem.com नाम से एक वेबसाइट बनाई।
इस वेबसाइट पर उन्होंने डिजिटल रूप से हस्ताक्षरित एक संदेश प्रकाशित किया, जिसमें लिखा था, “We have a problem here – Wayne।” इस प्रदर्शन का उद्देश्य यह दिखाना था कि प्रभावित Keys पर नियंत्रण रखने वाला व्यक्ति भरोसेमंद डिजिटल सर्टिफिकेट की नकल तैयार करने की कोशिश कर सकता है।
सामान्य परिस्थितियों में डिजिटल सर्टिफिकेट बनाने और सत्यापित करने वाली क्रिप्टोग्राफिक व्यवस्था को इस तरह तैयार किया जाता है कि निजी Keys का अनुमान लगाना बेहद मुश्किल हो। लेकिन eMudhra के प्रभावित सर्टिफिकेट में Keys की कमजोरी ने इस सुरक्षा व्यवस्था पर गंभीर सवाल खड़े कर दिए।
आमतौर पर मजबूत क्रिप्टोग्राफिक Keys में पर्याप्त जटिलता और अनिश्चितता होती है, ताकि कंप्यूटर के लिए उनका अनुमान लगाना व्यावहारिक रूप से असंभव हो। उदाहरण के लिए, 384 बिट की संख्या को दशमलव रूप में लिखने पर लगभग 116 अंकों की संख्या मिलती है।
इसके विपरीत, रिपोर्ट के अनुसार eMudhra के प्रभावित सर्टिफिकेट में Keys का आकार केवल 3 से 8 बिट के बीच था। इतनी छोटी Keys को संभावित विकल्पों की जांच करके खोज निकालना बहुत आसान हो सकता है।
BGP.tools के निदेशक बेन कार्टराइट-कॉक्स ने इस घटना को बेहद चौंकाने वाला बताया। उन्होंने आशंका जताई कि संभवतः उदाहरण के तौर पर इस्तेमाल किया जाने वाला कोड गलती से वास्तविक सिस्टम में पहुंच गया होगा। उन्होंने यह सवाल भी उठाया कि इतनी गंभीर तकनीकी गलती समय रहते पकड़ में क्यों नहीं आई।
क्रिप्टोग्राफी विशेषज्ञों को चिंता है कि इस खामी को पूरी तरह ठीक करने में काफी समय लग सकता है। Go प्रोग्रामिंग भाषा के इंजीनियर फिलिपो वाल्सोर्डा ने चेतावनी दी कि प्रभावित प्रणालियों की सफाई और सुरक्षा सुधार का काम 2014 में सामने आए Heartbleed बग से भी बड़ा हो सकता है।
Heartbleed एक गंभीर सुरक्षा खामी थी, जिसने दुनिया भर में बड़ी संख्या में सर्वर को प्रभावित किया था। इसे ठीक करने के लिए सॉफ्टवेयर अपडेट करने के साथ-साथ कई प्रणालियों में सुरक्षा व्यवस्था बदलनी पड़ी थी। कुछ जगहों पर पासवर्ड बदलने और पुराने उपकरणों को अपडेट करने की जरूरत भी पड़ी।
वाल्सोर्डा के अनुसार, आधुनिक वेब ब्राउजर को अपडेट करना अपेक्षाकृत आसान है, लेकिन इंटरनेट से जुड़े सभी उपकरणों को सुरक्षित करना ज्यादा कठिन हो सकता है। पुराने Linux कंप्यूटर, स्मार्ट होम के IoT उपकरण और पृष्ठभूमि में काम करने वाले सर्वर सॉफ्टवेयर लंबे समय तक पुराने संस्करणों पर चलते रह सकते हैं।
इसी वजह से किसी सुरक्षा खामी का समाधान केवल एक अपडेट जारी करने तक सीमित नहीं होता। प्रभावित सर्टिफिकेट को अस्वीकार करने, पुरानी प्रणालियों की पहचान करने और जरूरी सुरक्षा बदलाव लागू करने की प्रक्रिया भी महत्वपूर्ण होती है।
रिपोर्ट के अनुसार, मंगलवार सुबह तक Apple, Google और Mozilla ने अपने प्रमुख ब्राउजर Safari, Chrome और Firefox में प्रभावित सर्टिफिकेट को ब्लॉक कर दिया था। इस कदम का उद्देश्य इन सर्टिफिकेट पर भरोसा किए जाने की संभावना को कम करना और संभावित दुरुपयोग से यूजर्स की सुरक्षा करना था।
Cloudflare ने भी अपने बड़े नेटवर्क और लोकप्रिय 1.1.1.1 WARP ऐप में आपातकालीन सुरक्षा सुधार लागू किए। इसके अलावा, Go प्रोग्रामिंग भाषा की देखरेख करने वाली टीम ने संस्करण 1.27.3 और 1.26.10 के लिए जरूरी सॉफ्टवेयर अपडेट जारी किए, ताकि प्रभावित Keys को स्वीकार करने से रोका जा सके।
इन कदमों से पता चलता है कि डिजिटल सर्टिफिकेट की सुरक्षा में किसी एक संस्था की गलती का असर कई कंपनियों और इंटरनेट सेवाओं तक पहुंच सकता है। इसलिए ब्राउजर, क्लाउड सेवाओं और सॉफ्टवेयर प्लेटफॉर्म के बीच तेज समन्वय जरूरी होता है।
रिपोर्ट के मुताबिक, सर्टिफिकेट ट्रांसपेरेंसी लॉग में अब तक ऐसा कोई प्रमाण नहीं मिला है कि इन कमजोर Keys का इस्तेमाल करके दुर्भावनापूर्ण सर्टिफिकेट जारी किए गए हों। यह राहत की बात है, लेकिन इससे हर तरह के संभावित दुरुपयोग की आशंका पूरी तरह समाप्त नहीं हो जाती।
ऐसे हमले को अंजाम देने के लिए हमलावर को आमतौर पर यूजर और उसकी वास्तविक वेबसाइट के बीच आने की स्थिति बनानी पड़ सकती है। इसे “Adversary-in-the-Middle” हमला कहा जाता है। उदाहरण के लिए, हमलावर किसी असुरक्षित स्थानीय Wi-Fi नेटवर्क पर नियंत्रण पाने की कोशिश कर सकता है और संचार के बीच हस्तक्षेप कर सकता है।
हालांकि, इसका अर्थ यह नहीं है कि हर सार्वजनिक Wi-Fi नेटवर्क असुरक्षित है या हर यूजर पर हमला हुआ है। जोखिम इस बात पर निर्भर करता है कि हमलावर के पास क्या पहुंच है और प्रभावित सर्टिफिकेट का इस्तेमाल किस तरह किया जा सकता है।
आम यूजर्स के लिए सबसे जरूरी कदम अपने डिजिटल उपकरणों और सुरक्षा सॉफ्टवेयर को अपडेट रखना है।
अपने वेब ब्राउजर को नवीनतम उपलब्ध संस्करण में अपडेट करें।
स्मार्टफोन और कंप्यूटर के ऑपरेटिंग सिस्टम के सुरक्षा अपडेट इंस्टॉल करें।
इंटरनेट सुरक्षा ऐप और अन्य जरूरी सॉफ्टवेयर को अपडेट रखें।
संदिग्ध लिंक पर क्लिक करने या अनजान वेबसाइट पर पासवर्ड और बैंकिंग जानकारी दर्ज करने से बचें।
सार्वजनिक Wi-Fi का इस्तेमाल करते समय संवेदनशील जानकारी साझा करने में सावधानी बरतें।
eMudhra के आठ इंटरमीडिएट डिजिटल सर्टिफिकेट में बेहद कमजोर Keys मिलने की घटना ने इंटरनेट सुरक्षा और डिजिटल पहचान सत्यापन की व्यवस्था पर गंभीर सवाल उठाए हैं। Google, Apple, Mozilla, Cloudflare और Go टीम ने प्रभावित सर्टिफिकेट को ब्लॉक करने या अस्वीकार करने के लिए कदम उठाए हैं।
फिलहाल उपलब्ध जानकारी में कमजोर Keys के जरिए दुर्भावनापूर्ण सर्टिफिकेट जारी किए जाने का प्रमाण नहीं मिला है। फिर भी पुराने उपकरणों और सॉफ्टवेयर को सुरक्षित करने में समय लग सकता है। ऐसे में यूजर्स को अपने ब्राउजर, ऑपरेटिंग सिस्टम और सुरक्षा ऐप को अपडेट रखना चाहिए। वहीं, सर्टिफिकेट जारी करने वाली संस्थाओं के लिए मजबूत क्रिप्टोग्राफिक Keys, बेहतर परीक्षण और नियमित सुरक्षा जांच सुनिश्चित करना बेहद जरूरी है।