इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय ने डिजिटल प्रमाणपत्र जारी करने वाली कंपनी ईमुद्रा में सुरक्षा संबंधी घटना की जांच के लिए एक विशेष दल गठित किया है। मंत्रालय के अनुसार, इस घटना का भारतीय वेबसाइट और ऐप पर असर बहुत सीमित रहा है। मंत्रालय ने बयान में कहा कि यह घटना मुख्य रूप से ईमुद्रा के वैश्विक डिजिटल प्रमाणपत्र कारोबार से जुड़ी है।
उसने कुछ सोशल मीडिया खातों पर घटना के असर को लेकर लोगों में डर फैलाने का आरोप भी लगाया। यह मामला तब सामने आया, जब भारतीय डिजिटल प्रमाणन प्राधिकरण ईमुद्रा ने खुलासा किया कि उसके डिजिटल प्रमाणपत्र से जुड़ी निजी सुरक्षा कुंजियों (प्राइवेट की) की सुरक्षा प्रभावित हुई है। साइबर सुरक्षा एजेंसी भारतीय कंप्यूटर आपात प्रतिक्रिया दल (सीईआरटी-इन) ने भी इस संबंध में परामर्श जारी किया है।
मंत्रालय ने स्पष्ट किया कि ईमुद्रा दो अलग-अलग क्षेत्रों में काम करती है। पहले क्षेत्र में डिजिटल हस्ताक्षर प्रमाणपत्र (डीएससी) जारी करना और ई-हस्ताक्षर सेवाएं देना शामिल है। इनका नियमन मंत्रालय के तहत आने वाला भारतीय प्रमाणन प्राधिकरण (सीसीए) करता है।
दूसरे क्षेत्र में ईमुद्रा ऐसे डिजिटल प्रमाणपत्र जारी करती है, जिन्हें प्रमुख वेब ब्राउजर और ऑपरेटिंग सिस्टम विश्वसनीय मानते हैं। इन प्रमाणपत्र का इस्तेमाल वेबसाइट, सॉफ्टवेयर और इंटरनेट पर होने वाले संचार को सुरक्षित रखने के लिए किया जाता है। मंत्रालय के अनुसार, कंपनी का यह कारोबार वैश्विक स्तर पर चलता है और इसके लिए अंतरराष्ट्रीय नियमों और मानकों का पालन करना होता है।
इस कारोबार की स्वतंत्र एजेंसियां भी जांच करती हैं। इनमें बीडीओ इंटरनेशनल लिमिटेड की ओर से किया जाने वाला वेबट्रस्ट ऑडिट भी शामिल है। मंत्रालय ने कहा कि सुरक्षा संबंधी घटना कंपनी के इसी वैश्विक कारोबार तक सीमित है और इसके ऑडिट में मंत्रालय की भूमिका नहीं है।
उसने स्पष्ट किया कि सीसीए के नियमन के तहत आने वाले डिजिटल हस्ताक्षर प्रमाणपत्र और ई-हस्ताक्षर सेवाएं इस घटना से पूरी तरह अप्रभावित हैं। सीईआरटी-इन ने घटना के संबंध में परामर्श जारी किया है, जिसमें नुकसान को सीमित करने के उपाय भी शामिल हैं। मंत्रालय ने कहा कि वह मामले को जल्द सुलझाने के लिए सभी संबंधित पक्षों के साथ काम कर रहा है।
जांच पूरी होने के बाद इस बारे में और जानकारी दी जाएगी। ईमुद्रा विभिन्न कारोबारी इकाइयों के ऑनलाइन लेनदेन में इस्तेमाल होने वाले डिजिटल हस्ताक्षर प्रमाणपत्र जारी करती है। सार्वजनिक कुंजी ढांचे (पीकेआई) में सार्वजनिक और निजी सुरक्षा कुंजियों सहित कई घटक होते हैं।
इनका इस्तेमाल डिजिटल जानकारी को सुरक्षित रखने, उसकी प्रामाणिकता की पुष्टि करने और वेबसाइट को विश्वसनीय बनाने में किया जाता है। ट्रांसपोर्ट लेयर सिक्योरिटी (टीएलएस) प्रमाणपत्र का इस्तेमाल एचटीटीपीएस वाली वेबसाइट पर होता है। ये ब्राउजर और ऐप जैसे डिजिटल माध्यमों के बीच डेटा का सुरक्षित आदान-प्रदान सुनिश्चित करने में मदद करते हैं।
ईमुद्रा ने स्पष्ट किया है कि इस घटना का उसके भारतीय डिजिटल हस्ताक्षर प्रमाणपत्र और ई-हस्ताक्षर कारोबार से कोई संबंध नहीं है। कंपनी के अनुसार, इससे उसके वैश्विक टीएलएस कारोबार का एक छोटा हिस्सा प्रभावित हुआ है। सीईआरटी-इन के परामर्श के अनुसार, ईमुद्रा ने अपने सार्वजनिक कुंजी ढांचे में आठ मध्यवर्ती प्रमाणन प्राधिकरण प्रमाणपत्रों से जुड़ी निजी कुंजियों की सुरक्षा प्रभावित होने की जानकारी दी है।
इनमें छह टीएलएस प्रमाणपत्र और दो कोड-साइनिंग प्रमाणपत्र शामिल हैं। इस खुलासे के बाद आशंका जताई गई कि इन कुंजियों का इस्तेमाल साइबर अपराधी किसी वास्तविक भुगतान कंपनी की नकल करने वाला फर्जी ऑनलाइन मंच बनाने और लोगों को भुगतान के लिए बरगलाने में कर सकते हैं। हालांकि, ईमुद्रा ने कहा कि उसके बुनियादी ढांचे की सुरक्षा में सेंध नहीं लगी, किसी डेटा की चोरी या अनधिकृत पहुंच की घटना नहीं हुई और कंपनी के सभी भौतिक तथा डिजिटल सुरक्षा उपाय बरकरार हैं।
कंपनी ने कहा कि प्रभावित वैश्विक टीएलएस कारोबार उसके कुल कारोबार का बहुत छोटा हिस्सा है और कंपनी के राजस्व में इसका योगदान करीब एक प्रतिशत है। हालांकि, इस घटना से कंपनी की प्रतिष्ठा को कितना नुकसान हो सकता है, इसका आकलन नहीं किया जा सकता। ईमुद्रा ने कहा कि वह संभावित रूप से प्रभावित ग्राहकों से सीधे संपर्क कर उन्हें नए प्रमाणपत्र उपलब्ध करा रही है, ताकि महत्वपूर्ण सेवाओं में बाधा न आए।
कंपनी ने बताया कि वह प्रमुख ब्राउजर और ऑपरेटिंग सिस्टम में प्रमाणपत्रों को विश्वसनीय मानने वाली संस्थाओं के साथ भी काम कर रही है और घटना के मूल कारणों की जांच जारी है। कंपनी के अनुसार, उसकी प्रणाली में एक खामी के कारण मूल मजबूत कुंजियों के साथ कुछ कमजोर कुंजियां भी बन गई थीं। एक शोधकर्ता ने एप्पल, गूगल, माइक्रोसॉफ्ट और मोजिला को बताया था कि कृत्रिम मेधा (एआई) की मदद से इन कमजोर कुंजियों का विश्लेषण कर उनका मूल स्वरूप निकाला जा सकता है।
सीईआरटी-इन ने कहा कि गूगल ने क्रोम ब्राउजर में प्रभावित टीएलएस प्रमाणपत्रों की सार्वजनिक कुंजियों को सर्टिफिकेट रिवोकेशन लिस्ट सेट (सीआरएल-सेट) अपडेट के जरिये रोक दिया है। मोजिला ने भी ईमुद्रा के छह प्रभावित टीएलएस मध्यवर्ती प्रमाणपत्रों (मुख्य डिजिटल प्रमाणपत्र और वेबसाइट के प्रमाणपत्र के बीच भरोसे की कड़ी) को अवरुद्ध कर दिया है। सर्टिफिकेट रिवोकेशन लिस्ट सेट (सीआरएल-सेट) गूगल क्रोम ब्राउजर की ऐसी व्यवस्था है, जिसके जरिये उन डिजिटल प्रमाणपत्र को अवरुद्ध किया जा सकता है, जिन पर अब भरोसा नहीं किया जाना चाहिए।
