eMudhra रिपोर्ट: गलत Python स्क्रिप्ट ने कमज़ोर कीं प्राइवेट कीज़
eMudhra की पोस्ट-इंसिडेंट रिपोर्ट के मुताबिक एक कस्टम Python स्क्रिप्ट ने आठ इंटरमीडिएट सर्टिफिकेट की प्राइवेट कीज़ छोटी कर दीं, एक तो सिर्फ़ एक बाइट रह गई।
SUMO· नंबर पज़ल
Dialo· बोलकर भाषाएँ सीखें
ediviewer· EDI फ़ाइलें दस्तावेज़ की तरह पढ़ें
giftdetect· मिनटों में सही तोहफ़ाभारतीय डिजिटल ट्रस्ट कंपनी eMudhra ने मंगलवार, 10 नवंबर को अपनी पूरी पोस्ट-इंसिडेंट रिपोर्ट जारी की। इसमें कहा गया है कि आठ इंटरमीडिएट सर्टिफिकेट पर हस्ताक्षर करने वाली प्राइवेट कीज़ कंपनी के अपने इंजीनियरों की लिखी Python key-handling स्क्रिप्ट की गड़बड़ी से कमज़ोर हुईं। एक की वैल्यू घटकर सिर्फ़ एक बाइट रह गई।
स्क्रिप्ट में क्या गड़बड़ी थी
रिपोर्ट के अनुसार कीज़ को हार्डवेयर सिक्योरिटी मॉड्यूल (HSM) के बीच भेजने के लिए wrap-unwrap प्रक्रिया अपनाई गई थी। स्क्रिप्ट ने unwrap के बाद कीज़ को गलत तरीके से वापस पढ़ा, जिससे उनकी वैल्यू कट गई और वे 384-बिट (116 अंक) की स्वीकृत मज़बूती से काफ़ी कमज़ोर हो गईं। कंपनी का कहना है कि मूल कीज़ सही बनी थीं और HSM में कोई खराबी नहीं थी; समस्या स्क्रिप्ट और प्रोसेस कंट्रोल में थी।
कंपनी ने पहली बार बताया कि उसने 7 नवंबर 2026 को आठ और RSA की-पेयर रद्द किए, क्योंकि वह साबित नहीं कर सकी कि उन्हें अपने नियमों के अनुसार संभाला गया था। इनकी वैल्यू नहीं कटी थी, पर प्राइवेट की एट्रिब्यूट ceremony कंप्यूटर पर Python प्रोसेस की वोलेटाइल मेमोरी में थे। पहले कंपनी ने RSA सर्टिफिकेट प्रभावित न होने की बात कही थी।
असर और पृष्ठभूमि
एक स्वतंत्र सुरक्षा शोधकर्ता 'Wayne' ने करीब एक महीने पहले कीज़ को रिवर्स-इंजीनियर किया; सबसे छोटी '4' और सबसे बड़ी '237' निकली। Google, Microsoft, Apple और Mozilla ने आठों सर्टिफिकेट ब्लॉक कर दिए। CERT-In ने 21 अक्टूबर की एडवाइज़री में चेताया था कि हमलावर फ़र्ज़ी TLS और कोड-साइनिंग सर्टिफिकेट बना सकते थे। इसके बाद eMudhra ने वैश्विक डिजिटल सर्टिफिकेट कारोबार छोड़कर भारत की डिजिटल सिग्नेचर और ऑथेंटिकेशन सेवाओं पर ध्यान देने की घोषणा की।
कीज़ 30 अप्रैल 2025 की ceremony में बनी थीं और अमेरिका व यूरोप की साइटों के लिए ले जानी थीं। कंपनी ने हार्डवेयर शिपिंग में देरी, 15 जून 2025 से लागू root store नीति बदलाव और Sectigo के साथ क्रॉस-सर्टिफिकेशन की समयसीमा को कारण बताया। सूचीबद्ध 195 end-entity सर्टिफिकेट में से 130 अब रद्द EM DV TLS CA – G2C ने जारी किए थे, जो कई विश्वविद्यालयों, कॉलेजों और अन्य संगठनों के डोमेन के थे।
देखने लायक ऐप्स
SUMO: नंबर पज़लसही खाने चुनें, जोड़ें, लक्ष्य तक पहुँचें। सीखना आसान, महारत मुश्किल। मुफ़्त, हर उम्र के लिए।
Dialo: बोलकर भाषाएँ सीखेंAI बातचीत साथी से बात करें; हर वाक्य सुधरकर आपकी भाषा में समझाया हुआ लौटता है। 9 भाषाएँ, A1 से C2 तक।
ediviewer: EDI फ़ाइलें दस्तावेज़ की तरह पढ़ेंEDIFACT और X12 संदेश खोलें, हर सेगमेंट की व्याख्या देखें, JSON/XML में बदलें, PDF और Excel में निर्यात करें। स्थानीय रूप से चलता है, कोई अपलोड नहीं।
giftdetect: मिनटों में सही तोहफ़ाचुनें किसके लिए, किस मौके पर और कैसा स्वभाव। सर्च इंजन स्थानीय दुकानों के उत्पाद विवरण पढ़कर सबसे उपयुक्त विकल्प ऊपर रखता है। मुफ़्त, बिना साइन-अप।
इसी दिन की और ख़बरें
सभी देखें →
Unacademy के CEO गौरव मुंजाल पद छोड़ेंगे, upGrad डील के बाद बदलाव
CERT-In ने Chrome की गंभीर खामियों पर चेताया, यूज़र्स ब्राउज़र अपडेट करें
Plurai को 1.3 करोड़ डॉलर की सीड फंडिंग, AI एजेंट होंगे भरोसेमंद
