सार:
Apple ने हाल ही में iOS और iPadOS उपकरणों पर गंभीर सुरक्षा मुद्दों के साथ आठ डिजिटल प्रमाणपत्रों को अवरुद्ध कर दिया है ताकि हमलावरों को इन प्रमाणपत्रों का उपयोग करके खुद को वैध वेबसाइटों के रूप में छिपाने और फिर फ़िशिंग, मैन-इन-द-मिडिल हमलों या उपयोगकर्ता डेटा चोरी करने से रोका जा सके। हालाँकि, सुरक्षा शोधकर्ता याद दिलाते हैं कि कुछ macOS सिस्टम उपकरण अभी भी इन समस्याग्रस्त प्रमाणपत्रों पर भरोसा कर सकते हैं, और Mac उपयोगकर्ताओं और सिस्टम प्रशासकों को अभी भी बाद के सुरक्षा अद्यतनों पर ध्यान देने की आवश्यकता है।
इस घटना में भारतीय प्रमाणपत्र प्राधिकारी eMudhra द्वारा जारी किए गए आठ मध्यवर्ती प्रमाणपत्र शामिल हैं। डिजिटल प्रमाणपत्र इंटरनेट सुरक्षा प्रणाली का एक महत्वपूर्ण हिस्सा हैं। जब कोई ब्राउज़र किसी वेबसाइट तक पहुंचता है, तो वह सर्वर की पहचान सत्यापित करने और HTTPS एन्क्रिप्टेड कनेक्शन के माध्यम से डेटा ट्रांसमिशन की सुरक्षा के लिए प्रमाणपत्र का उपयोग करेगा। उदाहरण के लिए, जब कोई उपयोगकर्ता किसी बैंक की वेबसाइट पर जाता है, तो ब्राउज़र को यह पुष्टि करने की आवश्यकता होती है कि कनेक्शन वास्तव में बैंक सर्वर से है, न कि किसी हमलावर द्वारा स्थापित नकली वेबसाइट से।
आम तौर पर, प्रमाणपत्र अधिकारियों को क्रिप्टोग्राफ़िक कुंजियों का उपयोग करना चाहिए जो प्रमाणपत्र जारी करने के लिए पर्याप्त मजबूत हों ताकि यह सुनिश्चित किया जा सके कि अनधिकृत तृतीय पक्ष किसी विश्वसनीय वेबसाइट की पहचान को खराब नहीं कर सकें। हालाँकि, सुरक्षा शोधकर्ताओं ने पाया कि eMudhra में शामिल आठ प्रमाणपत्रों में अत्यंत गंभीर कुंजी पीढ़ी की समस्याएँ थीं, और उनकी निजी कुंजियाँ 256 से कम पूर्णांक निकलीं। इसका मतलब है कि एक हमलावर को प्रासंगिक निजी कुंजी को पुनर्प्राप्त करने का मौका पाने के लिए केवल बहुत कम संख्या में संभावित मानों को आज़माने की आवश्यकता होती है, जिसमें जटिल गणनाओं की लगभग कोई आवश्यकता नहीं होती है।
मोज़िला की जांच के अनुसार, इन निजी कुंजियों का अनुमान लगाना बेहद आसान है। आधुनिक क्रिप्टोग्राफी के लिए, यह स्थिति एक अत्यंत सरल संख्या को खाता पासवर्ड के रूप में उपयोग करने के बराबर है, जो सामान्य सुरक्षा प्रदान करने में पूरी तरह से असमर्थ है। एक बार जब किसी हमलावर के पास प्रासंगिक निजी कुंजियाँ होती हैं, तो इन प्रमाणपत्रों द्वारा जारी किए गए अन्य प्रमाणपत्रों को बनाना संभव होता है, जिससे प्रभावित सॉफ़्टवेयर गलती से यह सोच लेता है कि कनेक्शन एक वैध वेबसाइट से है।
इस प्रकार के हमले का खतरा यह है कि हमलावर को लक्ष्य वेबसाइट के सर्वर से सीधे समझौता करने की आवश्यकता नहीं है। यदि एक विश्वसनीय HTTPS प्रमाणपत्र को जाली बनाया जा सकता है और नेटवर्क ट्रैफ़िक अवरोधन और अन्य साधनों के साथ जोड़ा जा सकता है, तो एक हमलावर बैंक, उद्यम या अन्य वैध वेबसाइट का प्रतिरूपण कर सकता है, और उपयोगकर्ताओं को उनकी जानकारी के बिना पासवर्ड, पहचान जानकारी या अन्य संवेदनशील डेटा भेजने के लिए प्रेरित कर सकता है। हमलावर आगे धोखाधड़ी करने या मैलवेयर फैलाने के लिए उपयोगकर्ताओं द्वारा प्राप्त वेब पेजों की सामग्री को भी संशोधित कर सकते हैं।
संबंधित समस्या 17 अक्टूबर, 2026 को ब्राउज़र सुरक्षा टीम को बताई गई थी। Google, मोज़िला और अन्य निर्माताओं ने बाद में प्रभावित प्रमाणपत्रों पर भरोसा जारी रखने से रोकने के लिए उपाय किए। मोज़िला फ़ायरफ़ॉक्स के वनसीआरएल प्रमाणपत्र अवरोधन तंत्र के माध्यम से सुरक्षा जानकारी वितरित करता है। उपयोगकर्ताओं को आमतौर पर प्रासंगिक सुरक्षा प्राप्त करने के लिए ब्राउज़र को मैन्युअल रूप से अपडेट करने या डिवाइस को पुनरारंभ करने की आवश्यकता नहीं होती है। Google ने Chrome के प्रमाणपत्र अवरोधन तंत्र को भी अद्यतन किया है और संबंधित प्रमाणपत्रों पर प्रतिबंधात्मक उपाय किए हैं।
Apple ने 19 अक्टूबर को प्रासंगिक नाकाबंदी उपायों को लागू करना शुरू कर दिया। सुरक्षा शोधकर्ताओं के अनुसार, ये उपाय उन सॉफ़्टवेयर को प्रभावित प्रमाणपत्रों पर भरोसा करने से रोकते हैं जो Apple के सिस्टम प्रमाणपत्र सत्यापन तंत्र पर निर्भर हैं। Apple ने Google और Mozilla की तुलना में थोड़ी देर से कार्रवाई की, लेकिन संबंधित प्रमाणपत्रों को अब नाकाबंदी में शामिल कर दिया गया है।
यह ध्यान देने योग्य है कि इन आठ प्रमाणपत्रों में से सभी का उपयोग वेबसाइट HTTPS कनेक्शन के लिए नहीं किया जाता है। उनमें से छह टीएलएस-संबंधित प्रमाणपत्र हैं, और अन्य दो में कोड हस्ताक्षर उद्देश्य शामिल हैं। कोड हस्ताक्षर प्रमाणपत्र का उपयोग सॉफ़्टवेयर प्रकाशक की पहचान को सत्यापित करने के लिए किया जाता है और यह देखने के लिए कि सॉफ़्टवेयर के साथ छेड़छाड़ की गई है या नहीं। इसलिए, प्रमाणपत्र निजी कुंजी में गंभीर खामियों का सॉफ़्टवेयर वितरण और ट्रस्ट सिस्टम पर भी प्रभाव पड़ सकता है।
हालांकि, फिलहाल इस बात का कोई सबूत नहीं है कि हमलावरों ने वास्तविक हमलों को अंजाम देने के लिए इन प्रमाणपत्रों का इस्तेमाल किया है। सुरक्षा शोधकर्ताओं ने बताया कि हालांकि विचाराधीन प्रमाणपत्रों में गंभीर खामियां हैं, लेकिन उनमें से सभी का उपयोग उत्पादन वातावरण में नहीं किया गया है। Google ने यह भी कहा कि अवरुद्ध करने के उपाय करने से पहले, छह प्रभावित मध्यवर्ती प्रमाणपत्रों द्वारा जारी किए गए और प्रासंगिक लॉग रिकॉर्ड में दर्ज किए गए कोई भी टीएलएस प्रमाणपत्र सार्वजनिक प्रमाणपत्र पारदर्शिता लॉग में नहीं पाए गए थे। यह कुछ हद तक ज्ञात सार्वजनिक HTTPS प्रमाणपत्रों के दुरुपयोग के जोखिम को कम करता है, लेकिन अन्य सॉफ़्टवेयर या गैर-सार्वजनिक वातावरण में संभावित प्रभाव को पूरी तरह से खारिज नहीं करता है।
मैक उपयोगकर्ताओं के लिए, स्थिति थोड़ी अधिक जटिल है। हालाँकि Apple ने अवरोधक उपाय किए हैं, मोज़िला क्रिप्टोग्राफी इंजीनियर डेनिस जैक्सन ने बताया कि macOS के अंतर्निहित कमांड लाइन टूल कर्ल में अभी भी विश्वास संबंधी समस्याएं हो सकती हैं। इस उपकरण द्वारा उपयोग किए गए प्रमाणपत्रों का सेट संबंधित प्रमाणपत्रों की निरस्तीकरण जानकारी की जांच नहीं करता है, इसलिए कुछ मामलों में कर्ल प्रमाणपत्रों को स्वीकार करना जारी रख सकता है, भले ही उन्हें अमान्य घोषित कर दिया गया हो।
इसका मतलब यह है कि स्क्रिप्ट, विकास उपकरण या स्वचालित सेवाएँ जो नेटवर्क अनुरोधों के लिए macOS के अंतर्निहित कर्ल पर निर्भर हैं, उन्हें अतिरिक्त रूप से अपने स्वयं के प्रमाणपत्र सत्यापन व्यवहार की जाँच करने की आवश्यकता हो सकती है। विशेष रूप से उन प्रणालियों के लिए जिन्होंने प्रासंगिक प्रमाणपत्र स्वीकार कर लिए हैं, आपको इस बात पर अधिक ध्यान देना चाहिए कि प्रमाणपत्र अवरुद्ध करने के उपाय वास्तव में उपयोग किए गए सॉफ़्टवेयर और ट्रस्ट स्टोरेज तंत्र को कवर करते हैं या नहीं।
आम उपयोगकर्ताओं के लिए, सबसे सुरक्षित तरीका Apple द्वारा प्रदान किए गए सिस्टम और सॉफ़्टवेयर सुरक्षा अपडेट को तुरंत इंस्टॉल करना और ब्राउज़र को नवीनतम संस्करण पर रखना है। एंटरप्राइज़ प्रशासकों और डेवलपर्स को यह जांचना चाहिए कि क्या सर्वर, कमांड लाइन टूल, एप्लिकेशन और कस्टम सर्टिफिकेट स्टोर अभी भी प्रभावित प्रमाणपत्रों पर भरोसा करते हैं और सुरक्षा शोधकर्ताओं द्वारा प्रदान की गई पहचान और शमन सिफारिशों का पालन करते हैं।
इस घटना ने डिजिटल प्रमाणपत्र प्रणाली में आसानी से नजरअंदाज की जाने वाली समस्या को भी उजागर किया: भले ही HTTPS एक परिपक्व एन्क्रिप्शन एल्गोरिथ्म का उपयोग करता है, यदि प्रमाणपत्र निर्माण प्रक्रिया में उपयोग की जाने वाली निजी कुंजी बहुत सरल है, तो भी संपूर्ण पहचान सत्यापन प्रणाली को आसानी से तोड़ा जा सकता है। एन्क्रिप्शन तकनीक स्वयं विफल नहीं होती है. वास्तविक समस्या मुख्य पीढ़ी और प्रमाणपत्र प्रबंधन लिंक में है।
eMudhra ने कहा कि इस बात का कोई सबूत नहीं है कि इसके बुनियादी ढांचे से समझौता किया गया है, और कोई प्रासंगिक डेटा रिसाव का पता नहीं चला है। एजेंसी प्रासंगिक प्रमाणपत्रों को बदलने में सहायता के लिए संभावित रूप से प्रभावित ग्राहकों के साथ काम कर रही है। चूंकि ये प्रमाणपत्र अप्रैल 2025 में तैयार किए गए थे और समस्या एक साल से अधिक समय से मौजूद है, इसलिए संबंधित एजेंसियों को यह पुष्टि करने की आवश्यकता है कि क्या अन्य सॉफ़्टवेयर, सिस्टम या सेवाओं ने विश्वास संबंध स्थापित करने के लिए इन प्रमाणपत्रों पर भरोसा किया है।
कुल मिलाकर, Apple द्वारा इन आठ प्रमाणपत्रों को अवरुद्ध करना संभावित हमलों को विफल करने में एक महत्वपूर्ण कदम है, लेकिन प्रमाणपत्र निरस्तीकरण का मतलब यह नहीं है कि सभी सॉफ़्टवेयर तुरंत उन पर भरोसा करना बंद कर देंगे। सामान्य उपयोगकर्ताओं के लिए, सिस्टम और ब्राउज़र को समय पर अपडेट करना आमतौर पर सबसे प्रत्यक्ष सुरक्षात्मक उपाय है; डेवलपर्स और उद्यमों के लिए, यह सुनिश्चित करने के लिए प्रमाणपत्र सत्यापन तंत्र की और जांच करना आवश्यक है कि सभी प्रासंगिक एप्लिकेशन समाप्त हो चुके प्रमाणपत्रों की सही पहचान कर सकें।
टिप्पणियाँ