Internet पर सबसे बड़ा खतरा, Google-Apple ने रातों-रात भारत की इस कंपनी को किया ब्लैकलिस्ट

बेंगलुरु की साइबर सिक्योरिटी कंपनी eMudhra की एक बड़ी चूक ने पूरी दुनिया के इंटरनेट को हिला कर रख दिया है। कंपनी द्वारा जारी 8 इंटरमीडिएट डिजिटल सर्टिफिकेट्स की प्राइवेट-की इतनी कमजोर पाई गईं कि कोई भी उन्हें चुटकियों में क्रैक कर सकता था। इस खतरे को देखते हुए Google, Apple, Microsoft, Mozilla और Cloudflare ने इमरजेंसी ब्लॉक लगा दिया है। eMudhra एक लाइसेंस्ड सर्टिफाइंग अथॉरिटी (CA) है। यह भारत की इकलौती ऐसी कंपनी है जिसका रूट सर्टिफिकेट दुनिया भर में ट्रस्टेड है। जब आप किसी HTTPS वेबसाइट पर जाते हैं, तो आपका ब्राउज़र eMudhra जैसी कंपनियों के सर्टिफिकेट से ही वेरिफाई करता है कि वेबसाइट असली है या नहीं।

कंपनी ने 30 अप्रैल 2025 को 8 इंटरमीडिएट सर्टिफिकेट्स बनाए थे। सामान्य तौर पर इनकी प्राइवेट-की 384-बिट यानी करीब 116 अंकों की बेहद जटिल संख्या होनी चाहिए, जिसे गेस करना नामुमकिन है। लेकिन eMudhra ने बताया कि की-जेनरेशन प्रोसेस में एक स्क्रिप्ट बग आ गया, जिसने ओरिजिनल मजबूत की के साथ-साथ एक दूसरा कमजोर की-सेट भी बना दिया। स्टाफ ने नाम मिलते-जुलते होने के कारण गलती से कमजोर की का इस्तेमाल कर दिया। रिजल्ट - एक की का वैल्यू सिर्फ '4' निकला, बाकी की 66, 155 जैसी छोटी संख्याएं थीं। यानी 3 से 8 बिट की सिक्योरिटी, जिसे 256 बार ट्राई करके कोई भी निकाल सकता है। यह गड़बड़ी स्वतंत्र रिसर्चर 'Wayne' ने 17 अक्टूबर की शाम को पकड़ी। 

उन्होंने AI की मदद से इन की को रिवर्स-इंजीनियर किया और सबूत के तौर पर 'emudhra.we-have-a-problem.com' नाम की वेबसाइट बनाकर उसी कमजोर प्राइवेट-की से साइन किया हुआ मैसेज - "We have a problem here – Wayne" पोस्ट कर दिया। खतरे की गंभीरता समझते ही सभी बड़ी कंपनियों ने 3 दिन के अंदर एक्शन लिया: Google Chrome: 17 अक्टूबर को 6 TLS इंटरमीडिएट्स को CRLSet के जरिए ब्लॉक किया, emSign ECC Root CA – G3 को रूट स्टोर से हटाने का ऐलान किया। 27 अक्टूबर से यह लागू होगा। Mozilla Firefox: OneCRL के जरिए सभी 8 सर्टिफिकेट ब्लॉक, Firefox 158.0.1 और NSS 3.131.1 अपडेट जारी किया। Apple और Microsoft: 19-20 अक्टूबर को अपने ट्रस्ट सिस्टम में ब्लॉक लगाया। Cloudflare: 19 अक्टूबर शाम 5 बजे अलर्ट मिलते ही CDN, WARP, 1.1.1.1 और cloudflared पर इमरजेंसी पैच लगाया। 

eMudhra ने सभी 8 सर्टिफिकेट्स को रिवोक कर दिया है और G3 रूट के तहत नया सर्टिफिकेट जारी करना बंद कर दिया है। अगर कोई हैकर इन की का गलत इस्तेमाल करता, तो वह किसी भी वेबसाइट - बैंक, Gmail, सरकारी पोर्टल - के नाम का नकली लेकिन ट्रस्टेड HTTPS सर्टिफिकेट बना सकता था। फिर नेटवर्क को इंटरसेप्ट करके पासवर्ड, क्रेडिट कार्ड डिटेल चुराना आसान हो जाता। हालांकि अभी तक एक्टिव एक्सप्लॉइट का कोई सबूत नहीं मिला है। इस खबर के बाद NSE पर eMudhra के शेयर 20% गिरकर लोअर सर्किट पर ₹432 पर आ गए। कंपनी का कहना है कि उसके भारतीय DSC और eSign सर्विसेज पर असर नहीं पड़ा है। ब्राउज़र, OS और Apps को तुरंत अपडेट रखें। कोई भी ब्राउज़र अगर 'Invalid Certificate' की चेतावनी दे तो उसे बायपास न करें। वेबसाइट ओनर्स अपने सर्टिफिकेट चेन को चेक कर लें।