ईमुध्रा के कमजोर प्रमाणपत्रों से डिजिटल भरोसे पर सवाल

ईमुध्रा की आठ मध्यवर्ती प्रमाणन प्राधिकरण इकाइयों से जुड़े निजी क्रिप्टोग्राफिक कुंजी कमजोर पाए जाने के बाद कंपनी ने संबंधित प्रमाणपत्र रद्द कर दिए। यह मामला वैश्विक वेब सुरक्षा से जुड़ा है, क्योंकि प्रमाणन प्राधिकरणों की कुंजियों का इस्तेमाल वेबसाइटों की पहचान प्रमाणित करने में होता है।

कमजोर कुंजियों की वजह क्या थी?

सुरक्षा शोधकर्ता वेन ने 17 अक्टूबर 2026 को इन आठ इकाइयों की निजी कुंजियों में कमजोरी का पता लगाया। ईमुध्रा के अनुसार, 30 अप्रैल 2025 को कुंजी निर्माण समारोह के दौरान एक स्क्रिप्ट में हुई त्रुटि से कमजोर कुंजियों का दूसरा सेट बन गया और वह अनजाने में प्रकाशित भी हो गया। कुंजी बनाने की प्रक्रिया में पर्याप्त यादृच्छिकता नहीं होने के कारण P-384 निजी कुंजियों का अनुमान सीमित संभावनाओं की जांच करके लगाया जा सकता था।

निजी कुंजी का सुरक्षित रहना डिजिटल प्रमाणपत्र व्यवस्था की बुनियादी शर्त है। यदि कुंजी का अनुमान लगाया जा सके, तो कोई हमलावर उस प्रमाणन प्राधिकरण के नाम से विश्वसनीय दिखने वाले प्रमाणपत्र बना सकता है। इससे वैध वेबसाइट की नकल करना या उपयोगकर्ताओं और वेबसाइट के बीच एन्क्रिप्टेड संचार में बाधा डालने का जोखिम पैदा हो सकता है।

प्रमाणन व्यवस्था में मध्यवर्ती इकाइयों की भूमिका

सार्वजनिक कुंजी अवसंरचना में प्रमाणन प्राधिकरण किसी सार्वजनिक कुंजी को वेबसाइट या अन्य पहचानी गई इकाई से जोड़ने वाला डिजिटल प्रमाणपत्र जारी करता है। मध्यवर्ती प्रमाणन प्राधिकरण, मूल यानी रूट प्रमाणन प्राधिकरण के अधीन प्रमाणपत्र जारी करते हैं। इस तरह एक भरोसे की श्रृंखला बनती है, जिसे ब्राउज़र और ऑपरेटिंग सिस्टम प्रमाणपत्र की वैधता जांचने में इस्तेमाल करते हैं।

टीएलएस प्रोटोकॉल नेटवर्क पर क्लाइंट और सर्वर के बीच संचार को सुरक्षित करता है। इस प्रक्रिया में डिजिटल प्रमाणपत्र सर्वर की पहचान की पुष्टि करने में मदद करता है। इसलिए प्रमाणन श्रृंखला की किसी इकाई की निजी कुंजी उजागर होने पर असर केवल उस कंपनी तक सीमित नहीं रहता; उससे जुड़ी वेबसाइटों पर भी भरोसा प्रभावित हो सकता है।

कंपनी और तकनीकी जगत की कार्रवाई

ईमुध्रा ने आठ प्रमाणपत्र रद्द किए और अपने G3 रूट के अंतर्गत नए प्रमाणपत्र जारी करना रोक दिया। कंपनी ने कहा कि प्रभावित मध्यवर्ती इकाइयों में से अधिकांश का उत्पादन प्रणालियों में इस्तेमाल नहीं हुआ था। मोज़िला, गूगल, एप्पल और माइक्रोसॉफ्ट के साथ क्लाउडफ्लेयर ने भी प्रभावित प्रमाणपत्रों को अवरुद्ध किया और 19–20 अक्टूबर 2026 के आसपास आपातकालीन सुधार लागू किए।

कंपनी के अनुसार, भारत में डिजिटल हस्ताक्षर प्रमाणपत्र और ई-साइन सेवाएं अलग अवसंरचना पर चलती हैं, इसलिए वे इस घटना से प्रभावित नहीं हुईं। 21 अक्टूबर 2026 को वैश्विक टीएलएस कारोबार में कुछ मध्यवर्ती प्रमाणपत्रों पर भरोसा हटने की खबरों के बाद ईमुध्रा के शेयरों में 20 प्रतिशत का निचला सर्किट लगा।

खबर से जुड़े जीके तथ्य

• डिजिटल प्रमाणपत्र किसी सार्वजनिक कुंजी को पहचान से जोड़ता है और जारीकर्ता प्रमाणन प्राधिकरण द्वारा डिजिटल रूप से हस्ताक्षरित होता है।

• टीएलएस नेटवर्क पर संचार को सुरक्षित करने के साथ सर्वर की पहचान की पुष्टि में भी मदद करता है।

• P-384 अण्डाकार-वक्र क्रिप्टोग्राफी में प्रयुक्त मानक है; इसे secp384r1 भी कहा जाता है।

• निचला सर्किट शेयर बाजार में किसी कारोबारी सत्र के दौरान कीमत में गिरावट की निर्धारित सीमा है।

यह घटना दिखाती है कि डिजिटल प्रमाणपत्रों पर भरोसा केवल मजबूत गणितीय तकनीक पर नहीं, बल्कि कुंजियों को सुरक्षित ढंग से बनाने और संभालने पर भी निर्भर करता है।