अगर आप अपने फोन या लैपटॉप में Google Chrome या Mozilla Firefox चलाते हैं तो यह खबर आपके काम की है. सरकार की साइबर सुरक्षा एजेंसी CERT-In ने 21 अक्टूबर को भारतीय कंपनी eMudhra के डिजिटल सर्टिफिकेट में सुरक्षा से जुड़ी एक बड़ी खामी को लेकर अलर्ट जारी किया है.
कंपनी के आठ डिजिटल सर्टिफिकेट की सुरक्षा में कमजोरी मिली. इनमें छह वेबसाइटों की पहचान और सुरक्षा से जुड़े थे, जबकि दो सॉफ्टवेयर की पहचान से संबंधित थे.
क्या है पूरा मामला?
इसे आसान भाषा में समझिए. इंटरनेट पर किसी वेबसाइट की असली पहचान साबित करने के लिए एक डिजिटल पहचान पत्र इस्तेमाल होता है. इसे डिजिटल सर्टिफिकेट कहते हैं. इसके साथ एक खास तरह का डिजिटल कोड भी होता है, जो वेबसाइट की पहचान साबित करने में मदद करता है.
CERT-In की एडवाइजरी के मुताबिक eMudhra के आठ सर्टिफिकेट से जुड़े इस खास कोड को बनाने का तरीका कमजोर था. इसकी वजह से कोई जानकार व्यक्ति उस कोड का पता लगा सकता था और उसका गलत इस्तेमाल कर सकता था.
हैकर कैसे कर सकता था धोखाधड़ी?
मान लीजिए आप अपने बैंक की वेबसाइट खोल रहे हैं. ब्राउजर वेबसाइट की पहचान जांचता है ताकि आपको पता चले कि आप सही वेबसाइट पर हैं. अगर किसी हैकर के पास वेबसाइट की पहचान साबित करने वाला डिजिटल कोड आ जाए तो वह ऐसी वेबसाइट के लिए नकली सर्टिफिकेट बनाने की कोशिश कर सकता है, जिस पर उसका कोई अधिकार नहीं है. इससे नकली वेबसाइट असली जैसी दिखाई दे सकती है और लोगों को धोखा देने का खतरा बढ़ सकता है.
इसी तरह सॉफ्टवेयर से जुड़े दो सर्टिफिकेट की गुप्त keys का गलत इस्तेमाल करके किसी खतरनाक प्रोग्राम को भरोसेमंद कंपनी के सॉफ्टवेयर जैसा दिखाने की कोशिश भी की जा सकती थी.
क्या लोगों का डेटा चोरी हुआ?
फिलहाल CERT-In की एडवाइजरी में ऐसा कोई सबूत नहीं दिया गया है कि इन कमजोर सर्टिफिकेट के जरिए लोगों का डेटा चोरी हुआ. eMudhra के मुताबिक, इन आठ सर्टिफिकेट से किसी वेबसाइट या सॉफ्टवेयर को आगे इस्तेमाल के लिए सर्टिफिकेट जारी नहीं किया गया था.
Google ने भी बताया कि प्रभावित छह वेबसाइट सर्टिफिकेट से जुड़े सर्टिफिकेट उसके रिकॉर्ड में नहीं मिले. हालांकि, इसका मतलब यह नहीं है कि इंटरनेट पर हर तरह का खतरा खत्म हो गया है.
Google और Mozilla ने क्या कदम उठाए?
Google और Firefox बनाने वाली कंपनी Mozilla ने प्रभावित वेबसाइट सर्टिफिकेट को ब्लॉक कर दिया है. आसान भाषा में कहें तो ब्राउजर अब इन सर्टिफिकेट पर भरोसा नहीं करेगा. Mozilla ने Firefox के कुछ नए वर्जन भी जारी किए हैं, ताकि उन यूजर्स तक सुरक्षा से जुड़ी जानकारी पहुंच सके, जिनके ब्राउजर में यह जानकारी अपने आप अपडेट नहीं हुई थी.
Google ने इसके अलावा eMudhra के 'emSign ECC Root CA - G3' नाम के मुख्य सर्टिफिकेट को Chrome की भरोसेमंद सूची से हटाने का फैसला किया है. यह बदलाव 27 अक्टूबर 2026 से लागू होगा.
27 अक्टूबर के बाद क्या परेशानी हो सकती है?
यहां एक जरूरी बात समझिए. किसी वेबसाइट का मुख्य डिजिटल सर्टिफिकेट उसकी पहचान पर भरोसा करने की पूरी व्यवस्था का हिस्सा होता है. अगर ब्राउजर उस मुख्य सर्टिफिकेट पर भरोसा करना बंद कर देता है तो उससे जुड़े कुछ असली वेबसाइट सर्टिफिकेट भी भरोसे के लायक नहीं माने जा सकते.
ऐसे में कुछ असली वेबसाइटों पर सुरक्षा चेतावनी दिख सकती है या उन्हें खोलने में परेशानी हो सकती है. हालांकि, CERT-In के पत्र में प्रभावित वेबसाइटों की कुल संख्या नहीं बताई गई है.
आपको क्या करना चाहिए?
सबसे पहले अपने फोन और लैपटॉप में Chrome, Firefox और ऑपरेटिंग सिस्टम को अपडेट रखें. अगर किसी वेबसाइट पर यह चेतावनी दिखाई दे कि कनेक्शन सुरक्षित नहीं है तो उसे नजरअंदाज न करें.
खासकर बैंक, ऑनलाइन पेमेंट या खरीदारी वाली वेबसाइट पर ऐसी चेतावनी दिखने पर अपना पासवर्ड, कार्ड नंबर या दूसरी निजी जानकारी न डालें.
सरकारी विभागों, कंपनियों और वेबसाइट चलाने वालों को भी जांच करनी होगी कि उनकी वेबसाइट इस प्रभावित डिजिटल सुरक्षा व्यवस्था पर निर्भर तो नहीं है. अगर ऐसा है तो उन्हें किसी दूसरी भरोसेमंद व्यवस्था से नया डिजिटल सर्टिफिकेट लेना पड़ सकता है. यानी कुल मिलाकर यह मामला इंटरनेट पर वेबसाइटों की पहचान और उन पर भरोसा करने की व्यवस्था में आई सुरक्षा खामी का है. आम यूजर्स के लिए जरूरी है कि वे अपने ब्राउजर अपडेट रखें और किसी भी वेबसाइट पर सुरक्षा चेतावनी मिलने पर सावधानी बरतें.
इन सेवाओं पर असर नहीं
eMudhra की साइबर सुरक्षा से जुड़ी एक घटना सामने आई है. इस मामले को इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय ने गंभीरता से लिया. जांच के लिए एक विशेष टीम बनाई गई है. सरकार के मुताबिक, eMudhra मुख्य रूप से दो तरह की सेवाएं देता है. पहली सेवा डिजिटल सिग्नेचर सर्टिफिकेट और eSign से जुड़ी है, जिनका इस्तेमाल दस्तावेजों पर डिजिटल हस्ताक्षर करने के लिए होता है. इन सेवाओं की निगरानी भारत में Controller of Certifying Authorities करता है. दूसरी सेवा वेबसाइटों, सॉफ्टवेयर और इंटरनेट पर होने वाले संचार को सुरक्षित रखने के लिए डिजिटल सर्टिफिकेट जारी करने से जुड़ी है. यह अंतरराष्ट्रीय सुरक्षा व्यवस्था के तहत काम करती है. साइबर सुरक्षा से जुड़ी यह घटना eMudhra की दूसरी सेवा से संबंधित है. इसका भारत की वेबसाइटों और ऐप्स पर असर बहुत सीमित और वह भी थोड़े समय के लिए होता है. सरकार ने यह भी साफ किया है कि डिजिटल सिग्नेचर सर्टिफिकेट और eSign सेवाएं पूरी तरह सुरक्षित और अप्रभावित हैं. सरकार ने सोशल मीडिया पर इस घटना को लेकर फैलाए जा रहे डर और दावों के प्रति भी आगाह किया है.
यह भी पढ़ें: ChatGPT में अब बातचीत पर लगेगा ताला, PIN और Face ID से लॉक होंगी चैट
