नई दिल्ली: माइक्रोसॉफ्ट ने बेंगलुरु की साइबर सुरक्षा कंपनी ई-मुद्रा (eMudhra) लिमिटेड से जुड़े सात सर्टिफिकेट को उन सर्टिफिकेट की सूची से हटा दिया है, जिन पर विंडोज और उसके एज ब्राउजर भरोसा करते हैं. यह कदम दुनिया की बड़ी टेक कंपनियों की ओर से की जा रही कार्रवाई का नया हिस्सा है. इससे पहले पता चला था कि कंपनी के आठ इंटरमीडिएट सर्टिफिकेट से जुड़ा सुरक्षा तंत्र प्रभावित हुआ था.
माइक्रोसॉफ्ट ने 26 अक्टूबर को अपने सिक्योरिटी रिस्पॉन्स सेंटर के ब्लॉग पर एक पोस्ट में बताया कि उसने विंडोज 10 और विंडोज 11 के लिए KB5134125 और KB5134133 नाम के अपडेट जारी किए हैं. इन अपडेट के जरिए eMudhra के छह ‘G3’ रूट सर्टिफिकेट और अमेरिकी सर्टिफिकेट अथॉरिटी सेक्टिगो के एक क्रॉस-साइन किए गए सर्टिफिकेट को हटा दिया गया है. यह सर्टिफिकेट सेक्टिगो के AAA सर्टिफिकेट सर्विसेज रूट के तहत आता था.
ये अपडेट उन कंप्यूटरों के लिए हैं, जिन्हें माइक्रोसॉफ्ट की ओर से सर्टिफिकेट के अपने आप अपडेट मिलने की सुविधा नहीं मिलती. माइक्रोसॉफ्ट ने 27 अक्टूबर को एज ब्राउजर से भी यही सात सर्टिफिकेट हटा दिए. गूगल ने पिछले हफ्ते घोषणा की थी कि वह क्रोम से eMudhra के emSign ECC Root CA – G3 को हटाएगा. यह कार्रवाई भी 27 अक्टूबर को की जानी थी.
कंपनी ने कहा, “माइक्रोसॉफ्ट eMudhra के बाकी रूट सर्टिफिकेट की अलग-अलग समीक्षा कर रहा है. प्रभावित ग्राहकों के इन सर्टिफिकेट व्यवस्था से बाहर निकलने के साथ ही आगे की किसी भी कार्रवाई का समय तय किया जाएगा.” गूगल ने कहा है कि वह अपने स्टोर में मौजूद eMudhra के एक अन्य रूट सर्टिफिकेट emSign Root CA – G1 की समीक्षा कर रहा है. मोजिला ने कहा है कि फिलहाल वह G1 को नहीं हटा रहा है.
रूट सर्टिफिकेट भरोसे की एक श्रृंखला में सबसे ऊपर होता है. डिवाइस इसके तहत जारी किए गए सभी सर्टिफिकेट को स्वीकार करते हैं. माइक्रोसॉफ्ट ने कहा कि G3 रूट सर्टिफिकेट हटाने का कदम 20 अक्टूबर को उठाए गए कदम से भी आगे है. उस दिन कंपनी ने उन आठ इंटरमीडिएट सर्टिफिकेट को ब्लॉक किया था, जिनकी सुरक्षा से समझौता हुआ था. नए कदम से ऐसे सॉफ्टवेयर की सुरक्षा भी होती है, जो रद्द किए गए सर्टिफिकेट की सूची की जांच नहीं करते.
कंपनी ने बताया कि इन आठ में से छह सर्टिफिकेट के पीछे मौजूद चाबियों का इस्तेमाल “किसी वेबसाइट या सेवा की नकली पहचान बनाने और संभावित रूप से यूजर्स के संचार में सेंध लगाने” के लिए किया जा सकता था. वहीं, बाकी दो का इस्तेमाल “खतरनाक सॉफ्टवेयर को किसी भरोसेमंद प्रकाशक की ओर से जारी दिखाने” के लिए किया जा सकता था. कंपनी ने संगठनों को सलाह दी कि वे हटाए गए रूट सर्टिफिकेट पर दोबारा भरोसा करने से पहले उनसे जुड़े जोखिमों को अच्छी तरह समझ लें.
सॉफ्टवेयर बनाने वाली कंपनियों ने भी इसी तरह के कदम उठाए हैं. 27 अक्टूबर को जावा के व्यापक रूप से इस्तेमाल होने वाले संस्करण डिस्ट्रीब्यूशन एक्लिप्स टेम्यूरिन ने अपने रिलीज में भरोसेमंद सर्टिफिकेट की सूची से emSign ECC Root CA – G3 और सेक्टिगो के AAA सर्टिफिकेट सर्विसेज रूट को हटा दिया. हालांकि, उसने G1 को सूची में बनाए रखा.
कमजोर निजी चाबियों के बारे में एक शोधकर्ता ने 17 अक्टूबर को एप्पल, गूगल, माइक्रोसॉफ्ट, मोजिला और eMudhra को जानकारी दी थी. मोजिला ने बताया कि ये चाबियां 256 से कम संख्या वाली थीं और इन्हें लगभग तुरंत हासिल किया जा सकता था.
eMudhra भारतीयों की ओर से टैक्स रिटर्न और कंपनी से जुड़े फॉर्म जमा करने के लिए इस्तेमाल किए जाने वाले डिजिटल सिग्नेचर सर्टिफिकेट जारी करती है. कंपनी ने इन कमजोर चाबियों के लिए 30 अप्रैल 2025 को चाबियां तैयार करने के दौरान एक स्क्रिप्ट में हुई गलती को जिम्मेदार बताया है. कंपनी ने एक बयान में कहा, “गलती हमारी थी.” 22 अक्टूबर को कंपनी ने घोषणा की थी कि वह वेबसाइटों के लिए वैश्विक सर्टिफिकेट कारोबार से बाहर निकल जाएगी. कंपनी के मुताबिक, इस कारोबार से उसे होने वाली कमाई उसके कुल राजस्व का करीब एक प्रतिशत है. G3 रूट के तहत जारी किए गए कुल 30,800 सर्टिफिकेट में से लगभग सभी अमेरिका के विश्वविद्यालयों को जारी किए गए थे. ये सर्टिफिकेट इनकॉमन के जरिए जारी हुए थे, जिसने इस साल eMudhra की सेवाएं अपनाई थीं.
भारत में जोखिम इस बात पर निर्भर करता है कि G1 को लेकर क्या फैसला लिया जाता है. उपभोक्ता मंच कैशलेस कंज्यूमर की ओर से ‘.bank.in’ डोमेन की जांच में पता चला कि कम से कम सात बैंक eMudhra के ऐसे सर्टिफिकेट इस्तेमाल कर रहे हैं, जो उन रूट सर्टिफिकेट से जुड़े हैं जिन पर ब्राउजर अब भी भरोसा करते हैं. इनमें बंधन बैंक, बैंक ऑफ इंडिया और जम्मू-कश्मीर बैंक शामिल हैं.
26 अक्टूबर को बॉम्बे स्टॉक एक्सचेंज में eMudhra के शेयर गिरकर 52 हफ्तों के सबसे निचले स्तर 318 रुपये पर पहुंच गए. यह 16 सितंबर को दर्ज 677.50 रुपये के उच्चतम स्तर से करीब 53 प्रतिशत कम है. सिर्फ पांच कारोबारी सत्रों में शेयरों में 43 प्रतिशत की गिरावट आई. 23 अक्टूबर को रेटिंग एजेंसी आईसीआरए ने कंपनी की क्रेडिट सीमाओं पर अपनी A (Stable) रेटिंग बरकरार रखी. हालांकि, उसने कंपनी की छवि को नुकसान पहुंचने, नियामकीय अनिश्चितता और विदेशों में बैंकिंग व सरकारी ग्राहकों को खोने के जोखिम की ओर भी ध्यान दिलाया.
इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय ने इस मामले की जांच के लिए एक टीम बनाई है. मंत्रालय ने कहा है कि भारत में eMudhra की घरेलू डिजिटल सिग्नेचर और ई-साइन सेवाओं पर इसका कोई असर नहीं पड़ा है. इन सेवाओं को कंट्रोलर ऑफ सर्टिफाइंग अथॉरिटीज नियंत्रित करता है. मंत्रालय ने अभी तक जांच के निष्कर्ष सार्वजनिक नहीं किए हैं और कंट्रोलर की ओर से भी कोई सार्वजनिक बयान नहीं आया है.
(इस रिपोर्ट को अंग्रेज़ी में पढ़ने के लिए यहां क्लिक करें)
यह भी पढ़ें: बांग्लादेश टैगोर को मुस्लिमों से नफरत करने वाला बता रहा है. क्या वह Gen Z की कसौटी पर खरे उतरेंगे?