Google ने eMudhra का रूट सर्टिफिकेट हटाया, कमजोर कीज़ की खामी

Google ने 27 अक्टूबर को eMudhra का रूट सर्टिफिकेट emSign ECC Root CA – G3 Chrome Root Store से हटा दिया। जो वेबसाइटें अब भी इस पर निर्भर थीं, उन पर Chrome यूज़र्स को पूरे पेज की सुरक्षा चेतावनी दिखने लगी। बेंगलुरु की eMudhra भारत की सबसे बड़ी लाइसेंसशुदा सर्टिफाइंग अथॉरिटी है।

क्या हुआ था

मध्य अक्टूबर में एक शोधकर्ता ने दिखाया कि eMudhra की वैश्विक हायरार्की के तहत आठ सर्टिफिकेट अथॉरिटी की प्राइवेट कीज़ इतनी कमजोर थीं कि कोई भी उन्हें निकाल सकता था। हर की लगभग 116 अंकों की होनी चाहिए थी, जबकि आठों 256 से छोटी थीं। ये कीज़ 30 अप्रैल 2025 को हुई एक की सेरेमनी में बनी थीं।

कंपनी के अनुसार स्क्रिप्ट में गड़बड़ी से कमजोर कीज़ का दूसरा सेट बन गया और मिलते-जुलते लेबल की वजह से गलती से वही इस्तेमाल हो गया। खामी करीब 18 महीने, यानी दो ऑडिट चक्रों में पकड़ में नहीं आई। सह-संस्थापक कौशिक श्रीनिवासन ने इसे “एक बुरा दिन” कहा। ऑडिटर की रिपोर्ट दो से तीन हफ्ते में आनी है।

17 अक्टूबर को रिपोर्ट मिलने के बाद Google ने करीब पौने दो घंटे में CRLSet से छह सर्टिफिकेट ब्लॉक कर दिए। Mozilla ने भी कुछ घंटों में Firefox में ब्लॉक किया, Apple ने 19 अक्टूबर और Microsoft ने 20 अक्टूबर को पैच जारी किए। Chrome के मुताबिक ब्लॉक से पहले छह इंटरमीडिएट से कोई वेबसाइट सर्टिफिकेट पब्लिक Certificate Transparency लॉग में नहीं आया था।

भारत में जवाबदेही का सवाल

22 अक्टूबर को eMudhra ने ग्लोबल SSL/TLS सर्टिफिकेट कारोबार बंद करने की घोषणा की, जिसमें G3 के साथ G1 रूट भी वापस लिया जाएगा। कंपनी के मुताबिक यह कारोबार राजस्व का करीब 1% है। भारत में प्रतिक्रिया धीमी रही: IT मंत्रालय ने जांच के लिए विशेष टीम बनाई और CERT-In ने रिपोर्ट के चार दिन बाद एडवाइजरी जारी की।

eMudhra भारत में आयकर, GST, कस्टम्स और कंपनी कानून की फाइलिंग के लिए डिजिटल सिग्नेचर संभालती है और नियामक Controller of Certifying Authorities (CCA) है। सवाल यह है कि भारत में सर्टिफिकेट अथॉरिटी को कौन जवाबदेह ठहराएगा, कौन से नियम टूटे और क्या दंड हो सकता है। Chrome ने कहा है कि वह eMudhra के बाकी रूट्स पर भी जांच कर रहा है।