देशाच्या डिजिटल सुरक्षेसंदर्भात एक मोठी तांत्रिक त्रुटी समोर आली आहे. डिजिटल प्रमाणपत्र प्रदाता असलेल्या 'ईमुद्रा'च्या आठ इंटरमीडिएट प्रमाणपत्रांच्या प्रायव्हेट की कमकुवत असल्याचे आढळून आले आहे. या त्रुटीमुळे सायबर गुन्हेगारांना या की मिळवणे सोपे झाले असते. यामुळे बनावट वेबसाइट्स तयार करणे, वैयक्तिक माहिती चोरणे आणि ऑनलाइन फसवणूक करण्याचा धोका निर्माण झाला असता. हे प्रकरण गांभीर्याने घेऊन, भारतीय संगणक आपत्कालीन प्रतिसाद पथकाने (CERT-In) २१ ऑक्टोबर २०२६ रोजी एक सुरक्षा सूचना जारी केली आहे.
तांत्रिक त्रुटीमुळे डिजिटल की कमकुवत झाल्या आहेत.
अहवालानुसार, ईमुद्राच्या आठ इंटरमीडिएट सर्टिफिकेट्समध्ये वापरलेल्या पी-३८४ प्रायव्हेट की सामान्य सुरक्षा मानकांच्या तुलनेत कमकुवत असल्याचे आढळून आले. त्यांचे वैशिष्ट्य असे होते की, संबंधित पब्लिक की वापरून प्रायव्हेट की जवळजवळ तात्काळ शोधणे शक्य होते. कंपनीच्या म्हणण्यानुसार, डिजिटल की तयार करण्याच्या प्रक्रियेत एक तांत्रिक त्रुटी निर्माण झाली होती. की जनरेशन दरम्यान रॅप आणि अनरॅप टप्प्यांमध्ये समस्या निर्माण झाल्यामुळे, कमकुवत कींचा दुसरा संच तयार करून प्रकाशित करण्यात आला. तथापि, ही समस्या पी-३८४ तंत्रज्ञानामध्ये नव्हती, तर की जनरेशन प्रक्रियेतील त्रुटीमुळे होती.
बनावट वेबसाइट्स आणि ऑनलाइन फसवणुकीचा धोका
या तांत्रिक त्रुटीचा सर्वात मोठा धोका डिजिटल ओळखींचा गैरवापर हा होता. जर सायबर गुन्हेगारांना या कमकुवत खाजगी की मिळाल्या, तर ते त्यांच्या मालकीच्या नसलेल्या वेबसाइट्सच्या नावाने बनावट TLS प्रमाणपत्रे जारी करण्याचा प्रयत्न करू शकले असते. याचा उपयोग खऱ्या वेबसाइट्ससारख्या दिसणाऱ्या बनावट वेबसाइट्स तयार करून वापरकर्त्यांची फसवणूक करण्यासाठी केला जाऊ शकला असता. यामुळे वापरकर्त्यांचे पासवर्ड, बँकिंग माहिती आणि इतर वैयक्तिक डेटा चोरीला जाण्याचा धोका निर्माण होऊ शकला असता. इतकेच नाही, तर प्रभावित कोड साइनिंग प्रमाणपत्रांचा गैरवापर करून असे धोकादायक सॉफ्टवेअर तयार केले जाऊ शकले असते, जे एखाद्या विश्वसनीय कंपनीने जारी केल्यासारखे भासते.
आठ प्रमाणपत्रांवर परिणाम झाला.
या घटनेत एकूण आठ इंटरमीडिएट सर्टिफिकेट्स प्रभावित झाली. यामध्ये सहा TLS सर्टिफिकेट्स (वेबसाइट सुरक्षा सर्टिफिकेट्स) आणि दोन कोड साइनिंग सर्टिफिकेट्सचा समावेश होता. कंपनीने सांगितले की, प्रभावित झालेल्या आठ सर्टिफिकेट्सपैकी केवळ एक सर्टिफिकेट प्रोडक्शन एनव्हायरमेंटमध्ये वापरले जात होते. ईमुद्राच्या म्हणण्यानुसार, त्यांच्या रूट CA कीज, इतर इंटरमीडिएट सर्टिफिकेट्स, इन्फ्रास्ट्रक्चर आणि ग्राहक डेटा सुरक्षित राहिले. भारतात वापरल्या जाणाऱ्या DSC आणि eSign सेवांवरही या समस्येचा परिणाम झाला नाही. २१ ऑक्टोबरपर्यंत, कोणत्याही दुर्भावनापूर्ण सायबर हल्ल्याची किंवा या असुरक्षिततेच्या प्रत्यक्ष गैरवापराची कोणतीही सार्वजनिक पुष्टी झालेली नव्हती.
ईमुद्रा, गूगल आणि मोझिला यांनी पावले उचलली
सुरक्षा त्रुटी आढळल्यानंतर, ईमुद्राने १८ ऑक्टोबर २०२६ रोजी सर्व आठ प्रभावित इंटरमीडिएट सर्टिफिकेट्स रद्द केले. ब्राउझर्स आणि तंत्रज्ञान कंपन्यांनीही सुरक्षा उपाययोजना केल्या आहेत. मोझिलाने OneCRL द्वारे फायरफॉक्समधील सहा प्रभावित TLS सर्टिफिकेट्स ब्लॉक केले आणि ब्राउझर अपडेट्स जारी केले. गूगलनेही क्रोम आणि समर्थित अँड्रॉइड डिव्हाइसेसमधील प्रभावित पब्लिक कीज ब्लॉक केल्या. तसेच, त्यांनी क्रोम रूट स्टोअरमधून emSign ECC रूट CA – G3 काढून टाकण्याची घोषणा केली. या बदलामुळे संबंधित रूट सर्टिफिकेट्सशी निगडित काही वैध सर्टिफिकेट्स अविश्वसनीय ठरू शकतात. यामुळे काही वेबसाइट्स आणि ऑनलाइन सेवांमध्ये तात्पुरता व्यत्यय येऊ शकतो.
सामान्य वापरकर्ते आणि कंपन्या सुरक्षित कसे राहू शकतात?
सायबर सुरक्षा तज्ञांसाठी, या घटनेने डिजिटल प्रमाणपत्रे नियमितपणे तपासणे आणि खाजगी की (private keys) सुरक्षितपणे तयार करण्याचे महत्त्व पुन्हा एकदा अधोरेखित केले आहे. सामान्य इंटरनेट वापरकर्त्यांनी त्यांच्या मोबाईल फोन आणि संगणकावर ब्राउझर आणि ऑपरेटिंग सिस्टीमसाठी नवीनतम सुरक्षा अपडेट्स स्थापित करून ठेवावेत. कंपन्या आणि वेबसाइट चालकांनी देखील त्यांची डिजिटल प्रमाणपत्रे तपासावीत आणि कोणतीही प्रभावित प्रमाणपत्रे बदलावीत. याव्यतिरिक्त, प्रमाणपत्रांशी संबंधित सुरक्षा सूचनांकडे दुर्लक्ष करू नये. कंपन्यांनी वेळेवर कोणतीही अनधिकृत प्रमाणपत्रे ओळखण्यासाठी सर्टिफिकेट ट्रान्सपरन्सी लॉग्स (Certificate Transparency Logs) आणि सुरक्षा सूचनांवर (security alerts) देखील लक्ष ठेवावे.
डिजिटल सुरक्षेसाठी एक मोठा इशारा
ईमुद्रा प्रकरण हे दाखवून देते की, डिजिटल जगात केवळ मजबूत तंत्रज्ञान असणे पुरेसे नाही; त्याचा योग्य वापर करणे देखील तितकेच महत्त्वाचे आहे. एक छोटीशी तांत्रिक चूकसुद्धा वेबसाइट्स आणि डिजिटल ओळखींच्या सुरक्षेसाठी मोठा धोका निर्माण करू शकते. त्यामुळे, कंपन्या, ब्राउझर प्लॅटफॉर्म आणि सुरक्षा संस्था यांच्यातील उत्तम समन्वय डिजिटल फसवणूक रोखण्यात महत्त्वपूर्ण भूमिका बजावू शकतो.
