eMudhra की 8 कमज़ोर चाबियां: क्या भारत की DSC पर असर पड़ा?

eMudhra की सुरक्षा खामी (certificate flaw) का आपके Digital Signature Certificate (DSC) पर क्या असर पड़ा? MeitY और CERT-In के अनुसार कोई असर नहीं: भारत की DSC और eSign सेवाएं अप्रभावित हैं, खामी कंपनी के वैश्विक वेबसाइट-सुरक्षा कारोबार में निकली। वहां 8 intermediate certificates की निजी चाबियां (private keys) इतनी कमज़ोर थीं कि उन्हें लगभग तुरंत निकाला जा सकता था।

इस लेख का ध्यान एक फ़र्क पर है: eMudhra के दो कारोबार अलग कैसे हैं, और भारत का आम यूज़र या वेबसाइट चलाने वाला किस हिस्से में आता है।

17 अक्टूबर को पकड़ी गई चाबियां

BleepingComputer के अनुसार Wayne नाम के सुरक्षा शोधकर्ता ने 17 अक्टूबर 2026 को सार्वजनिक certificate डेटा खंगालते हुए यह कमज़ोरी पकड़ी। Mozilla की घटना-रिपोर्ट के हवाले से बताया गया कि आठों certificates की P-384 चाबियों के मान 256 से छोटे थे। यानी चाबी पाने के लिए सिर्फ़ 256 संख्याएं आज़मानी पड़तीं।

Intermediate CA वह इकाई है जो वेबसाइटों के certificates पर दस्तख़त करती है। Cloudflare की चेतावनी के अनुसार (iTnews), ऐसी चाबी हाथ लगे तो कोई भी किसी भी डोमेन का नकली certificate बनाकर सर्वर की नकल कर सकता है।

eMudhra ने Mozilla के बग-ट्रैकर पर बताया कि अप्रैल 2025 की key ceremony में एक स्क्रिप्ट की गड़बड़ी से कमज़ोर चाबियों का दूसरा सेट बन गया। मिलते-जुलते लेबल की वजह से वही इस्तेमाल हो गया (BleepingComputer)। Help Net Security के अनुसार ये आठ, 30 अप्रैल 2025 को बने 24 intermediates के बैच का हिस्सा थे।

ब्लॉक की तारीखें Mozilla के Dennis Jackson की ट्रैकिंग साइट के अनुसार:

• 17 अक्टूबर: Firefox और Chrome ने आठों certificates ब्लॉक किए
• 19 अक्टूबर: Apple के उपकरणों पर ब्लॉक
• 20 अक्टूबर: Microsoft प्लेटफ़ॉर्म पर ब्लॉक (BleepingComputer के अनुसार उसी दिन Firefox 158.0.1 भी जारी हुआ)

256 संख्याएं कितनी कम हैं

ATM के 4 अंकों के PIN में 10,000 संभावनाएं होती हैं। 256 संभावनाओं वाली चाबी उससे लगभग 39 गुना आसान निकली। सामान्य P-384 चाबी की संभावनाएं 116 अंकों की संख्या जितनी बड़ी होती हैं। यह हमारा आकलन है, पर हिसाब सीधा है: 10,000 ÷ 256 ≈ 39।

Help Net Security ने लिखा कि ऐसी चाबी सार्वजनिक certificate से एक सेकंड से कम में निकल सकती है। BleepingComputer के अनुसार एक चाबी का मान सिर्फ़ 4 था। कई लोगों के खुद चाबी निकाल लेने के बाद Mozilla ने eMudhra की emSign ECC Root CA - G3 से भरोसा पूरी तरह हटाने का फ़ैसला किया, और iTnews के अनुसार Chrome भी वही राह ले रहा है।

eMudhra के दो कारोबार: कौन-सा हिस्सा प्रभावित है

Business Today की रिपोर्ट के अनुसार MeitY ने कहा कि eMudhra दो अलग क्षेत्रों में काम करती है। पहला है DSC और eSign, जिन्हें Controller of Certifying Authorities (CCA) विनियमित करता है। दूसरा वह certificate कारोबार है जिसे ब्राउज़र और ऑपरेटिंग सिस्टम भरोसेमंद मानते हैं।

मंत्रालय के अनुसार घटना सिर्फ़ दूसरे हिस्से की है। यह कारोबार वैश्विक भरोसा-ढांचे पर चलता है और BDO International के WebTrust ऑडिट के दायरे में आता है। MeitY ने यह भी कहा कि वह इस ऑडिट में शामिल नहीं है। eMudhra के अनुसार भारतीय DSC कारोबार अलग ढांचे पर चलता है (Business Standard)।

भारत में आम यूज़र के लिए इसका मतलब

Jackson की ट्रैकिंग साइट के अनुसार Chrome, Firefox, Apple और Microsoft के प्लेटफ़ॉर्म पर ब्लॉक लग चुके हैं। साथ ही अप्रैल 2025 के बाद इन intermediates की कोई प्रविष्टि Certificate Transparency लॉग में नहीं मिली, इसलिए CT लागू करने वाले ब्राउज़र पर हमला संभव नहीं था।

MeitY के अनुसार भारतीय वेबसाइटों और ऐप्स पर असर बहुत सीमित और बहुत कम अवधि का रहा। मंत्रालय ने सोशल मीडिया पर फैलाए जा रहे डर के ख़िलाफ़ भी चेताया (Business Today)।

CERT-In की सलाह के अनुसार ब्राउज़र, ऐप और ऑपरेटिंग सिस्टम अपडेट रखें (Business Standard)। Business Today के अनुसार ब्राउज़र की certificate चेतावनी को बायपास न करें। राय के तौर पर, यहां असली जोखिम नकल का है: असली दिखने वाली साइट या आवाज़ भरोसा चुराती है, जैसा AI आवाज़ से बैंक ठगी के मामले में दिखा था।

वेबसाइट और सर्वर चलाने वालों का काम

Cloudflare ने चेताया कि ग्राहकों को अपने सर्वर पर भी कदम उठाने पड़ सकते हैं। iTnews के अनुसार macOS का curl, Apple का ब्लॉक होने के बावजूद, ख़राब chain को मान रहा था। Business Today के अनुसार प्रभावित chain वाली वैध साइटों पर चेतावनी या कनेक्शन की दिक्कत आ सकती है, जब तक वे नए certificates पर न जाएं।

Jackson की ट्रैकिंग साइट पर दर्ज कुछ पैच:

• Go 1.27.3 और 1.26.10 (CVE-2026-111943)
• Python certifi 2026.10.19
• Node.js 22.23.4, 24.22.1 और 26.12.1
• curl CA bundle, 20 अक्टूबर 2026 का संस्करण

ब्राउज़र ठीक है तो सब ठीक, यह मान लेना गलत होगा, क्योंकि कई क्लाइंट revocation जानकारी नहीं जांचते और सिर्फ़ सॉफ़्टवेयर अपडेट से ही सुधरते हैं (Jackson की साइट)। गंभीर खामियों में पैच की प्राथमिकता पर F5 BIG-IP की 9.8 स्कोर वाली खामी की रिपोर्ट भी देख सकते हैं।

जो अभी साफ़ नहीं

eMudhra के 21 अक्टूबर के अपडेट के अनुसार कंपनी को ऐसा कोई सबूत नहीं मिला कि खुलासे से पहले किसी ने कमज़ोर चाबियां निकालीं या उनका दुरुपयोग किया। Business Today के अनुसार 21 अक्टूबर तक व्यापक हमलों की पुष्टि नहीं हुई थी, पर सबूत न मिलने का मतलब यह नहीं कि दुरुपयोग असंभव है।

• CT न लागू करने वाले क्लाइंट पर हमला हुआ या नहीं, यह Jackson की साइट के अनुसार अज्ञात है
• कारण की व्याख्या eMudhra की शुरुआती व्याख्या है, पूरी जांच बाकी है
• कितनी भारतीय वेबसाइटें सचमुच प्रभावित हुईं, इसका आंकड़ा सार्वजनिक नहीं हुआ

आगे क्या देखें

• MeitY की विशेष टीम की जांच: मंत्रालय के अनुसार ब्योरा जांच पूरी होने पर साझा होगा (Business Today)
• G3 root हटने का असर: Business Today के अनुसार वैध साइटों को नए certificates लेने पड़ेंगे
• बाकी पैच: Jackson की साइट पर Bun, Bottlerocket और Erlang certifi के पैच अभी 'pending' दिखते हैं

ब्राउज़र का ताला तभी काम का है जब उसके पीछे की चाबी सचमुच गुप्त हो। eMudhra का मामला अभी जांच में है। भारतीय DSC और eSign पर असर न होने की बात MeitY, CERT-In और कंपनी, तीनों ने कही है।

स्रोत: Mozilla (Dennis Jackson) की incident साइट, BleepingComputer, Help Net Security, Business Today, iTnews, Business Standard