सार:
पिछले हफ्ते, भारतीय काओताई कंपनी के eMudhra प्रमाणपत्र की निजी कुंजी के मुद्दे ने पूरे उद्योग का ध्यान आकर्षित किया। कंपनी द्वारा जारी किए गए आठ इंटरमीडिएट सीए प्रमाणपत्रों में कमजोर कुंजियों का उपयोग किया गया था। उनमें से, EM OV TLS CA-G3C प्रमाणपत्र की निजी कुंजी को केवल संख्या 4 तक बढ़ा-चढ़ाकर पेश किया गया था, इसलिए कोई भी अन्य डोमेन नामों के लिए उप-प्रमाणपत्र जारी करने के लिए सीधे इस प्रमाणपत्र का उपयोग कर सकता है।
हालाँकि, इन समस्याग्रस्त प्रमाणपत्रों को ब्राउज़र और ऑपरेटिंग सिस्टम द्वारा निरस्त कर दिया गया है। हालाँकि, कुछ डिवाइस प्रमाणपत्र निरस्तीकरण सूची की जाँच नहीं कर सकते हैं या अपडेट प्राप्त करने में असमर्थ हो सकते हैं। निरस्त प्रमाणपत्र अभी भी विश्वसनीय है, और जारी करने के लिए उपयोग किए गए उप-प्रमाणपत्र का अभी भी उपयोग किया जा सकता है।
इसलिए उत्साही लोगों ने Google डोमेन नामों के लिए 106,000 प्रमाणपत्र जारी किए:
किसी भी डोमेन नाम के लिए प्रमाणपत्र जारी करने के लिए eMudhra के उपयोग का परीक्षण करने के लिए, पहली पसंद डोमेन नाम निश्चित रूप से Google है (जैसे घरेलू उपयोगकर्ता यह जांचने के लिए Baidu खोलते हैं कि वे इंटरनेट से जुड़े हैं या नहीं), इसलिए वर्तमान CT प्रमाणपत्र पारदर्शिता लॉग ने रिकॉर्ड किया है कि उत्साही लोगों ने Google के मुख्य डोमेन नाम Google.com के लिए 106,000 प्रमाणपत्र जारी किए हैं।
वर्तमान में, प्रमाणपत्र पारदर्शिता लॉग 107,000 जारी करने के रिकॉर्ड रिकॉर्ड करता है, जिनमें से 99% परीक्षण ऑब्जेक्ट के रूप में Google डोमेन नामों का उपयोग करते हैं। इन प्रमाणपत्रों को CA सार्वजनिक कुंजी द्वारा प्रमाणित किया जा सकता है, लेकिन क्योंकि मध्यवर्ती प्रमाणपत्र ब्राउज़र द्वारा निरस्त कर दिया गया है, वास्तविक पहुंच अवरुद्ध कर दी जाएगी (जब तक कि निरस्तीकरण रिकॉर्ड की जाँच नहीं की जा सकती)।
मेरे द्वारा जारी किए गए प्रमाणपत्र सीटी द्वारा क्यों रिकॉर्ड किए जा सकते हैं:
क्योंकि प्रमाणपत्र जारी करना और सीटी लॉग पंजीकरण अलग-अलग प्रक्रियाएं हैं, सामान्य परिस्थितियों में सीए डोमेन नाम नियंत्रण को सत्यापित करने के बाद प्रमाणपत्र जारी करने के लिए मध्यवर्ती सीए निजी कुंजी का उपयोग करता है। लीक हुई निजी कुंजी वाला कोई व्यक्ति स्थानीय रूप से प्रमाणपत्र बना सकता है, DNS नाम फ़ील्ड में कोई भी डोमेन नाम लिख सकता है, और फिर हस्ताक्षर करने के लिए निजी कुंजी का उपयोग कर सकता है।
आरएफसी 9162 निर्धारित करता है कि कोई भी सीटी लॉग में प्रमाणपत्र जमा कर सकता है और लॉग निरीक्षण के लिए प्रमाणपत्र श्रृंखला संलग्न कर सकता है। सीटी लॉग सीए जारी करने की स्थिति की बाहरी समीक्षा के लिए प्रमाणपत्र को रिकॉर्ड करने और प्रचारित करने के लिए जिम्मेदार है, और सीए के लिए डोमेन नाम नियंत्रण अधिकारों की समीक्षा के लिए जिम्मेदार नहीं है। इसलिए, यदि उत्साही लोग प्रमाण पत्र जारी करते समय इसे सीटी लॉग में जमा करते हैं तो उनकी जांच की जा सकती है।
टिप्पणियाँ