सार:
अक्टूबर में इस रहस्योद्घाटन के बाद कि आठ मध्यवर्ती सीए प्रमाणपत्रों की निजी कुंजी आसानी से निकाली जा सकती है, भारतीय डिजिटल प्रमाणपत्र प्राधिकरण eMudhra ने हाल ही में आरएसए एल्गोरिथ्म के आधार पर आठ और मध्यवर्ती सीए प्रमाणपत्रों को रद्द करने की घोषणा की। ये प्रमाणपत्र पहले समस्याग्रस्त ईसीडीएसए प्रमाणपत्रों की तरह ही कुंजी निर्माण प्रक्रिया से आते हैं, और निजी कुंजी के प्रबंधन में अनियमितताएं थीं।
गलत स्क्रिप्ट प्रमाणपत्र कुंजियों के दोनों सेटों को प्रभावित करती है:
जांच से पता चला कि यह घटना 30 अप्रैल, 2025 को एक कुंजी पीढ़ी ऑपरेशन से उत्पन्न हुई, जब eMudhra ने विभिन्न क्षेत्रों में बुनियादी ढांचे के लिए मध्यवर्ती प्रमाणपत्र और कुंजी के 16 सेट तैयार किए। इस प्रक्रिया में क्रॉस-वेंडर हार्डवेयर सुरक्षा मॉड्यूल के बीच माइग्रेशन को संभालने के लिए कंपनी-लिखित पायथन स्क्रिप्ट का उपयोग किया गया।
सुरक्षा मॉड्यूल ने शुरू में कुंजी को सही ढंग से उत्पन्न किया, लेकिन कंपनी-लिखित स्क्रिप्ट ने ईसीडीएसए कुंजी ऑब्जेक्ट को दोबारा पढ़ने और बनाने के दौरान निजी कुंजी के केवल पहले बाइट को बरकरार रखा। परिणामस्वरूप, ECDSA निजी कुंजियों के आठ सेटों का मान 256 से कम है, जिसे सार्वजनिक जानकारी से आसानी से निकाला जा सकता है, और इन कमजोर कुंजियों का उपयोग प्रमाणपत्र अनुरोध उत्पन्न करने के लिए भी किया जाता है।
RSA4096 कुंजियों के अतिरिक्त 8 सेट बरकरार रहते हैं, लेकिन निजी कुंजी सामग्री पुन: आयात पर होस्ट पायथन प्रक्रिया की मेमोरी में भी प्रवेश करती है। संचालन का यह तरीका सीए निजी कुंजी हस्तांतरण के संबंध में सीए/ब्राउज़र फोरम आवश्यकताओं का अनुपालन नहीं करता है, इसलिए इन प्रमाणपत्रों को भी रद्द करने की आवश्यकता है, और ईमुधरा इन आरएसए प्रमाणपत्रों को कुंजी से समझौता नहीं, बल्कि बंद के रूप में चिह्नित करता है।
मई 2025 में विसंगतियां हुईं लेकिन कोई ध्यान नहीं दिया गया:
जांच से यह भी पता चला कि eMudhra को मई से जून 2025 तक विसंगतियों का सामना करना पड़ा: कुछ ECDSA मध्यवर्ती प्रमाणपत्रों से संबंधित प्रमाणपत्र निरस्तीकरण सूचियाँ हस्ताक्षर सत्यापन को पारित करने में विफल रहीं। जांच से पता चला कि विसंगति का कारण यह था कि मध्यवर्ती प्रमाणपत्र में स्क्रिप्ट द्वारा दोबारा बनाई गई एक कमजोर कुंजी का उपयोग किया गया था, जबकि मूल निरस्तीकरण सूची पर अभी भी मूल कुंजी द्वारा हस्ताक्षर किए गए थे।
eMudhra ने हस्ताक्षर के लिए उपयोग की जाने वाली मुख्य वस्तु को बदलकर सत्यापन समस्या का समाधान किया, लेकिन त्रुटि के विशिष्ट कारण का सावधानीपूर्वक विश्लेषण नहीं किया। यदि उस समय गहराई से जांच की जाती, तो यह पता लगाना आसान होता कि ऑनलाइन उत्पादन प्रमाणपत्र की कुंजी केवल 1 अक्षर4 थी।
eMudhra ने TLS प्रमाणपत्र व्यवसाय से बाहर निकलने का निर्णय लिया है:
इस सुरक्षा घटना के बाद, eMudhra ने इस व्यवसाय से राजस्व के कम अनुपात और सुरक्षा घटना के कारण कंपनी की प्रतिष्ठा को हुए नुकसान के कारण अब TLS प्रमाणपत्र व्यवसाय का संचालन नहीं करने का निर्णय लिया है। यह देखा जा सकता है कि यह काओताई कंपनी वैश्विक इंटरनेट पर इसके प्रभाव के बारे में चिंतित नहीं है। उसे बस यही लगता है कि पैसा कमाए बिना और अपनी प्रतिष्ठा को प्रभावित किए बिना इस व्यवसाय को बंद कर देना ही बेहतर है।
वर्तमान में, सभी प्रमुख ब्राउज़रों ने मूल रूप से eMudhra द्वारा निरस्त किए गए आठ ECDSA प्रमाणपत्रों पर भरोसा करना बंद कर दिया है। हालाँकि, प्रासंगिक कमांड लाइन उपकरण अद्यतन नहीं हो सकते हैं या डिफ़ॉल्ट रूप से प्रमाणपत्र निरस्तीकरण सेटिंग्स की जाँच नहीं करते हैं। कुछ पुराने सिस्टम और फ़र्मवेयर प्रमाणपत्र अपडेट नहीं कर सकते। ये उपकरण अभी भी eMudhra की कमजोर कुंजियों से प्रभावित हैं और बिचौलियों द्वारा इन्हें हाईजैक किया जा सकता है।
संबंधित लेख:
eMudhra चौंकाने वाले घोटाले के बाद वैश्विक SSL/TLS प्रमाणपत्र व्यवसाय से हट गया
उत्साही लोग Google के लिए 106,000 प्रमाणपत्र जारी करने के लिए eMudhra लीक प्रमाणपत्रों का उपयोग करते हैं, जो CA सार्वजनिक कुंजी प्रमाणीकरण को पारित कर सकते हैं
Google ने भारत की eMudhra पर दुर्घटना रिपोर्ट जारी करने में देरी करने का आरोप लगाया है। इसके कर्मचारियों का कहना है कि सोशल मीडिया का ध्यान कंपनी के लिए जांच करना मुश्किल बना देता है।
टिप्पणियाँ