eMudhraની ‘પ્રાઇવેટ કી’ માં ખામી સામે આવ્યા બાદ Google અને Mozillaએ લીધા કડક પગલાં!
તાજેતરમાં ભારતની જાણીતી ટેક કંપની eMudhra સાથે જોડાયેલો એક ગંભીર સુરક્ષા મામલો સામે આવ્યો છે. કંપનીના ૮ નબળા ડિજિટલ સર્ટિફિકેટના કારણે વૈશ્વિક સ્તરે ઇન્ટરનેટ સુરક્ષાને લઈને ચિંતાઓ વધી ગઈ છે. આ સર્ટિફિકેટ્સની ‘પ્રાઇવેટ કી’ (Private Key) માં એવી ટેકનિકલ ખામી હતી, જેનો ફાયદો ઉઠાવીને કોઈ પણ સાયબર હુમલાખોર અસલી વેબસાઇટના નામે નકલી સુરક્ષા પ્રમાણપત્ર જારી કરી શકતો હતો.
આનાથી બેંકિંગ, ઈ-કોમર્સ કે સરકારી પોર્ટલ જેવી અસલી વેબસાઇટ્સની નકલ કરીને સામાન્ય યુઝર્સને છેતરવાનું મોટું જોખમ ઊભું થયું હતું. મામલો સામે આવતા જ ગૂગલ અને મોઝિલા જેવી દિગ્ગજ કંપનીઓએ તુરંત સુરક્ષા પગલાં લીધાં છે.
eMudhra શું છે અને ખામી ક્યાં આવી?
બેંગલુરુ સ્થિત eMudhra ડિજિટલ ઓળખ અને ઓનલાઇન સુરક્ષા સેવાઓ પૂરી પાડતી એક અગ્રણી વૈશ્વિક કંપની છે. તે વિશ્વભરમાં વેબસાઇટ્સની ઓળખને પ્રમાણિત કરવા માટે ડિજિટલ (TLS/SSL) સર્ટિફિકેટ જારી કરે છે. જ્યારે તમે બ્રાઉઝરમાં કોઈ વેબસાઇટ ખોલો છો, ત્યારે આ જ સર્ટિફિકેટ બ્રાઉઝરને જણાવે છે કે તમે સાચી અને સુરક્ષિત વેબસાઇટ પર છો.
ગડબડ eMudhra ના ૮ ઇન્ટરમીડિયેટ સર્ટિફિકેટમાં મળી આવી હતી, જે ૩૦ એપ્રિલ ૨૦૨૫ ના રોજ તૈયાર કરવામાં આવ્યા હતા. કંપનીના જણાવ્યા અનુસાર, તેને બનાવતી વખતે એક ટેકનિકલ ગડબડના કારણે સુરક્ષા સિસ્ટમને ચકમો આપી શકે તેવી અત્યંત નબળી ‘પ્રાઇવેટ કી’ જનરેટ થઈ ગઈ હતી.
મામલો આટલો ગંભીર કેમ માનવામાં આવ્યો?
સરળ શબ્દોમાં સમજીએ તો કોઈ વેબસાઇટનું ડિજિટલ સર્ટિફિકેટ તેનું ‘આઈડી કાર્ડ’ હોય છે અને પ્રાઇવેટ કી તે આઈડીને પ્રમાણિત કરતી ગુપ્ત ડિજિટલ ચાવી.
-
ક્રિપ્ટોગ્રાફી નિયમો મુજબ, P-384 સિસ્ટમમાં પ્રાઇવેટ કી તરીકે ખૂબ જ મોટા અને જટિલ નંબરો હોવા જોઈએ.
-
પરંતુ આ કિસ્સામાં કેટલીક પ્રાઇવેટ કીની વેલ્યુ ખૂબ જ ઓછી (૨૫૬ થી પણ ઓછી) હતી.
-
CERT-In ના જણાવ્યા મુજબ, આ નબળી ચાવીઓનો પતો હુમલાખોરો ખૂબ જ સરળતાથી અને લગભગ તરત જ લગાવી શકતા હતા.
જો કોઈ હુમલાખોર આ ચાવીઓને ક્રેક કરી લેત, તો તે અસલી બેંક કે શોપિંગ સાઇટ જેવી નકલી વેબસાઇટ બનાવીને યુઝર અને સર્વર વચ્ચેના ડેટાની ચોરી કરી શકતો અથવા તેમાં ફેરફાર કરી શકતો. આ પ્રકારના સાયબર હુમલાને ‘મેન-ઇન-ધ-મિડલ અટેક’ (Man-in-the-Middle Attack) કહેવામાં આવે છે.
ટેક દિગ્ગજોની તાત્કાલિક કાર્યવાહી
૧૭ ઓક્ટોબર ૨૦૨૬ ના રોજ એક સિક્યુરિટી રિસર્ચરે આ ખામીની જાણકારી બ્રાઉઝર કંપનીઓને આપી હતી.
-
Google અને Mozilla: Google એ Chrome માં અને Mozilla એ Firefox બ્રાઉઝરમાં તરત જ સિક્યુરિટી અપડેટ જારી કરીને અસરગ્રસ્ત સર્ટિફિકેટ્સને બ્લોક કરી દીધા.
-
Cloudflare & CERT-In: ઇન્ટરનેટ ઇન્ફ્રાસ્ટ્રક્ચર કંપની ક્લાઉડફ્લેયરે પોતાની સિસ્ટમમાં સુધારા કર્યા, જ્યારે ભારતીય કમ્પ્યુટર ઇમરજન્સી રિસ્પોન્સ ટીમ (CERT-In) એ ૨૧ ઓક્ટોબરે આ અંગે સત્તાવાર એડવાઇઝરી જારી કરી.
-
eMudhra એ પણ અસરગ્રસ્ત સર્ટિફિકેટ્સને તુરંત રદ કરીને નવા સર્ટિફિકેટ્સ જારી કરવાની પ્રક્રિયા શરૂ કરી દીધી છે.
શું ભારતીય બેંકિંગ અને UPI ડેટા સુરક્ષિત છે?
હા, બિલકુલ સુરક્ષિત છે. eMudhra અને CERT-In બંનેએ સ્પષ્ટ કર્યું છે કે આ ઘટનાની અસર ભારતમાં ઉપયોગમાં લેવાતા ડિજિટલ સિગ્નેચર સર્ટિફિકેટ (DSC) અને eSign સેવાઓ પર બિલકુલ પડી નથી. ભારતીય સેવાઓનું ઇન્ફ્રાસ્ટ્રક્ચર ગ્લોબલ TLS સિસ્ટમથી અલગ છે. અત્યાર સુધી આ ખામી દ્વારા કોઈ પણ વાસ્તવિક સાયબર હુમલા કે ડેટા ચોરીની પુષ્ટિ થઈ નથી.
સામાન્ય યુઝર્સે શું કરવું જોઈએ?
-
બ્રાઉઝર અને ડિવાઇસ અપડેટ કરો: તમારા સ્માર્ટફોન, કમ્પ્યુટર અને બ્રાઉઝર (Chrome, Firefox, Edge) ને તરત જ લેટેસ્ટ વર્ઝન પર અપડેટ કરો.
-
સિસ્ટમ અપડેટ ન ટાળો: ફોન કે ઓપરેટિંગ સિસ્ટમમાં આવતા સત્તાવાર સુરક્ષા અપડેટ્સને અવગણશો નહીં.
-
વેબસાઇટ / સર્વર એડમિન ધ્યાન આપે: જો તમે કોઈ વેબસાઇટ કે આઈટી સિસ્ટમ સંભાળો છો, તો એ સુનિશ્ચિત કરો કે તમારા સર્વરનો ટ્રસ્ટ સ્ટોર પૂરી રીતે અપડેટ થયેલો છે.
આ ઘટના દર્શાવે છે કે ઇન્ટરનેટ પર સુરક્ષા માત્ર પાસવર્ડ કે ‘તાળાના નિશાન’ સુધી મર્યાદિત નથી. સદભાગ્યે સમયસર આ સુરક્ષા ખામીને પકડી લેવામાં આવી અને મોટી દુર્ઘટના ટળી ગઈ.
