भारतीय कंपनी eMudhra की बड़ी चूक, कमजोर क्रिप्टोग्राफिक कीज से खतरे में पड़ सकती थीं वेबसाइटों की सुरक्षा

नई दिल्लीः भारतीय साइबर सुरक्षा कंपनी eMudhra की एक बड़ी सुरक्षा चूक ने इंटरनेट पर वेबसाइटों की सुरक्षा और विश्वसनीयता को लेकर गंभीर सवाल खड़े कर दिए हैं। कंपनी की ओर से इस्तेमाल की गई आठ क्रिप्टोग्राफिक कीज (Cryptographic Keys) इतनी कमजोर थीं कि उन्हें बेहद कम समय में तोड़ा जा सकता था। इन कीज का इस्तेमाल डिजिटल सर्टिफिकेट जारी करने की प्रक्रिया में होता था, जिनके जरिए ब्राउजर यह पहचानते हैं कि कोई वेबसाइट असली है या नहीं।

इस खामी का संभावित असर बैंकिंग वेबसाइटों, ईमेल सेवाओं और दूसरी इंटरनेट सेवाओं पर पड़ सकता था। यदि कोई हमलावर इन कमजोर कीज का इस्तेमाल कर फर्जी डिजिटल सर्टिफिकेट तैयार कर लेता और उपयोगकर्ता के इंटरनेट कनेक्शन को बीच में रोकने या नियंत्रित करने में सफल हो जाता, तो वह किसी असली वेबसाइट की नकल करके उपयोगकर्ता को धोखा दे सकता था। इससे संवेदनशील जानकारियां गलत हाथों में जाने का जोखिम पैदा हो सकता था।

महज 4, 56 और 237 जैसी संख्याओं पर टिका था सुरक्षा का आधार

इस मामले में सबसे चौंकाने वाली बात कमजोर क्रिप्टोग्राफिक कीज के पीछे इस्तेमाल की गई संख्याएं हैं। रिपोर्ट के मुताबिक, आठ कीज में इस्तेमाल किए गए कुछ गुप्त नंबर महज 4, 56 और 237 थे। ये कीज के हिस्से नहीं, बल्कि उनसे जुड़ी वास्तविक गुप्त संख्याएं थीं।

आमतौर पर मजबूत क्रिप्टोग्राफिक सुरक्षा के लिए ऐसी बड़ी और अप्रत्याशित संख्याओं की जरूरत होती है, जिन्हें अनुमान लगाकर या गणना के जरिए निकालना बेहद मुश्किल हो। इसके विपरीत, इतनी छोटी संख्याओं का इस्तेमाल सुरक्षा को गंभीर रूप से कमजोर कर सकता है और हमलावरों के लिए क्रिप्टोग्राफिक चाबी को तोड़ना आसान बना सकता है।

प्रमुख ब्राउजर ने उठाए कदम

इस सुरक्षा खामी के सामने आने के बाद प्रमुख वेब ब्राउजरों ने संबंधित कीज को ब्लॉक कर दिया है। फिलहाल इन कमजोर कीज का इस्तेमाल करके किसी वास्तविक साइबर हमले को अंजाम दिए जाने की पुष्टि नहीं हुई है। हालांकि, इसका अर्थ यह नहीं है कि संभावित खतरा पूरी तरह समाप्त हो गया है।

पुराने कंप्यूटरों, इंटरनेट से जुड़े उपकरणों और ऐसे सॉफ्टवेयर को अपडेट करना चुनौतीपूर्ण हो सकता है, जो लंबे समय से इस्तेमाल किए जा रहे हैं। यदि किसी पुराने सिस्टम में संबंधित प्रमाणपत्रों या चाबियों पर भरोसा करने की व्यवस्था बनी रहती है, तो उसे सुरक्षित करने के लिए अलग से अपडेट या अन्य तकनीकी कदम उठाने पड़ सकते हैं।

हार्टब्लीड से भी बड़ी हो सकती है चुनौती

एक साइबर सुरक्षा विशेषज्ञ ने इस समस्या की तुलना वर्ष 2014 में सामने आए कुख्यात सुरक्षा बग ‘हार्टब्लीड’ से की है। विशेषज्ञ के अनुसार, पुराने उपकरणों और प्रणालियों में सुधार करने की व्यापक जरूरत के कारण इसका समाधान बेहद जटिल हो सकता है। हार्टब्लीड की खामी को ठीक करने में भी दुनिया भर में लंबे समय तक प्रयास करने पड़े थे।

यह मामला बताता है कि इंटरनेट सुरक्षा केवल मजबूत पासवर्ड बनाने या उनमें बड़े अक्षर और विशेष चिह्न जोड़ने तक सीमित नहीं है। वेबसाइटों की पहचान प्रमाणित करने वाली डिजिटल सर्टिफिकेट व्यवस्था भी उतनी ही महत्वपूर्ण है। यदि इस व्यवस्था की बुनियाद में ही कमजोरी रह जाए, तो उपयोगकर्ताओं को असली और नकली वेबसाइट के बीच अंतर पहचानने में परेशानी हो सकती है।