eMudhra ಸರ್ಟಿಫಿಕೇಟ್ ಗಳನ್ನು ಗೂಗಲ್, ಮೊಝಿಲ್ಲಾ ಮತ್ತು ಇತರ ಬ್ರೌಸರ್ ಗಳು ಬ್ಲಾಕ್ ಮಾಡಿದ್ದೇಕೆ?
ಸೌಮ್ಯರೇಂದ್ರ ಬಾರಿಕ್ - indianexpress. com ವರದಿ
Photo Credit : indianexpress.com
ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಕೀಗಳನ್ನು (cryptographic keys) ರಚಿಸುವ ಬೆಂಗಳೂರು ಮೂಲದ ಇ-ಮುದ್ರಾ (eMudhra) ಕಂಪನಿಯ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಗಂಭೀರ ಭದ್ರತಾ ಲೋಪ ಕಂಡುಬಂದಿದೆ. ಇದರ ಬೆನ್ನಲ್ಲೇ ಗೂಗಲ್, ಮೊಝಿಲ್ಲಾ, ಆ್ಯಪಲ್ ಮತ್ತು ಮೈಕ್ರೋಸಾಫ್ಟ್ ಸೇರಿದಂತೆ ವಿಶ್ವದ ಪ್ರಮುಖ ಬ್ರೌಸರ್ ಕಂಪನಿಗಳು ಇ-ಮುದ್ರಾ ಸಂಸ್ಥೆಗೆ ಸೇರಿದ ಡಿಜಿಟಲ್ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಬ್ಲಾಕ್ ಮಾಡುವ ಕ್ರಮ ಕೈಗೊಂಡಿವೆ. ಈ ಲೋಪವನ್ನು ದುರ್ಬಳಕೆ ಮಾಡಿಕೊಂಡು ಸೈಬರ್ ದಾಳಿಕೋರರು ನಕಲಿ ವೆಬ್‌ಸೈಟ್‌ಗಳನ್ನು ಸೃಷ್ಟಿಸುವ ಮತ್ತು ಸುರಕ್ಷಿತ ಇಂಟರ್ನೆಟ್ ಸಂವಹನಗಳನ್ನು ಹ್ಯಾಕ್ ಮಾಡುವ ಅಪಾಯವಿತ್ತು.
ಗೂಗಲ್ ಕಳೆದ ವಾರ ಕ್ರೋಮ್ ಬ್ರೌಸರ್‌ಗೆ ತುರ್ತು ಅಪ್‌ಡೇಟ್ ನೀಡುವ ಮೂಲಕ ಈ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಬ್ಲಾಕ್ ಮಾಡಿದೆ. ಮೊಝಿಲ್ಲಾ ಸಂಸ್ಥೆಯು ತನ್ನ ಫೈರ್‌ಫಾಕ್ಸ್ ಬ್ರೌಸರ್‌ನಲ್ಲಿ ಕೇಂದ್ರೀಕೃತ ವ್ಯವಸ್ಥೆಯ ಮೂಲಕ ಇವುಗಳನ್ನು ನಿಷೇಧಿಸಿದೆ. ಬಳಕೆದಾರರು ತಮ್ಮ ಬ್ರೌಸರ್‌ಗಳನ್ನು ಅಪ್‌ಡೇಟ್ ಮಾಡುವ ಅಥವಾ ರೀಸ್ಟಾರ್ಟ್ ಮಾಡುವ ಅಗತ್ಯವಿಲ್ಲದೆಯೇ ಈ ರಕ್ಷಣಾ ಕ್ರಮಗಳನ್ನು ಜಾರಿಗೆ ತರಲಾಗಿದೆ. ಇದಾದ ಬಳಿಕ ಆ್ಯಪಲ್ ಮತ್ತು ಮೈಕ್ರೋಸಾಫ್ಟ್ ಸಂಸ್ಥೆಗಳೂ ಈ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳ ವಿರುದ್ಧ ಕ್ರಮ ಕೈಗೊಂಡಿವೆ.
ಈ ಘಟನೆಯು ಇಂಟರ್ನೆಟ್‌ನ ಒಟ್ಟಾರೆ ಭದ್ರತೆಯ ಬಗ್ಗೆ ಕಳವಳ ಮೂಡಿಸಿದೆ. ವೆಬ್‌ಸೈಟ್‌ಗಳ ಪ್ರಮಾಣೀಕರಣ ಮತ್ತು ಆನ್‌ಲೈನ್ ಸಂವಹನದ ಸುರಕ್ಷತೆಗಾಗಿ ಇಂಟರ್ನೆಟ್ ಜಗತ್ತು ಬ್ರೌಸರ್‌ಗಳು ಹಾಗೂ ಸರ್ಟಿಫಿಕೇಶನ್ ಸಂಸ್ಥೆಗಳ ನಡುವಿನ ನಂಬಿಕೆಯನ್ನು ಅವಲಂಬಿಸಿದೆ. ಒಂದು ಸರ್ಟಿಫಿಕೇಶನ್ ಸಂಸ್ಥೆಯಲ್ಲಿ ಸಣ್ಣ ಲೋಪವಾದರೂ ಇಡೀ ವ್ಯವಸ್ಥೆಗೆ ಧಕ್ಕೆಯಾಗಬಹುದು. ಇದರಿಂದ ದಾಳಿಕೋರರು ನಕಲಿ ಡಿಜಿಟಲ್ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಸೃಷ್ಟಿಸಿ, ನೈಜ ವೆಬ್‌ಸೈಟ್‌ಗಳಂತೆ ನಟಿಸಿ ಗೌಪ್ಯ ಮಾಹಿತಿಯನ್ನು ಕದಿಯಲು ಅವಕಾಶ ಸಿಗುತ್ತದೆ. ಅಷ್ಟೇ ಅಲ್ಲದೆ, ಇಂಟರ್ನೆಟ್ ಭದ್ರತೆಯ ಜವಾಬ್ದಾರಿ ಹೊತ್ತಿರುವ ಸಂಸ್ಥೆಗಳ ರಕ್ಷಣಾ ವ್ಯವಸ್ಥೆಗಳ ಬಗ್ಗೆಯೂ ಹಲವು ಪ್ರಶ್ನೆಗಳು ಮೂಡಿವೆ.
ಇ-ಮುದ್ರಾ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳ ಸಮಸ್ಯೆ ಏನು?
ಇ-ಮುದ್ರಾ ಸಂಸ್ಥೆಯ ಎಂಟು 'ಇಂಟರ್‌ಮೀಡಿಯೇಟ್ ಸರ್ಟಿಫಿಕೇಶನ್ ಅಥಾರಿಟಿ' (CA) ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳಲ್ಲಿ ತೊಂದರೆ ಕಂಡುಬಂದಿದೆ. ಇವುಗಳ ಪ್ರೈವೇಟ್ ಕೀಗಳನ್ನು (Private Keys) ರಚಿಸುವಾಗ ಅಗತ್ಯ ಪ್ರಮಾಣದ 'ರಾಂಡಮ್‌ನೆಸ್' (ಸಾಕಷ್ಟು ವೈವಿಧ್ಯಮಯ ಯಾದೃಚ್ಛಿಕ ಸಂಕೇತಗಳು) ಬಳಸದಿರುವುದು ಈ ಸಮಸ್ಯೆಗೆ ಕಾರಣ. ಇದರಿಂದಾಗಿ ಕೀಗಳನ್ನು ಸುಲಭವಾಗಿ ಹ್ಯಾಕ್ ಮಾಡುವ ಸಾಧ್ಯತೆಯಿತ್ತು. ಇವುಗಳಲ್ಲಿ ಆರು ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ವೆಬ್‌ಸೈಟ್‌ಗಳ ಗುರುತನ್ನು ದೃಢೀಕರಿಸಲು ಮತ್ತು ಉಳಿದ ಎರಡು ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಸಾಫ್ಟ್‌ವೇರ್‌ಗೆ ಡಿಜಿಟಲ್ ಸಹಿ ಮಾಡಲು ಬಳಸಲಾಗುತ್ತಿತ್ತು. ವಾಯ್ನ್ ಎಂಬ ಸ್ವತಂತ್ರ ಭದ್ರತಾ ಸಂಶೋಧಕರು ಈ ಲೋಪವನ್ನು ಪತ್ತೆಹಚ್ಚಿ, ಅಕ್ಟೋಬರ್ 17ರಂದು ಬ್ರೌಸರ್ ಕಂಪನಿಗಳಿಗೆ ವರದಿ ಮಾಡಿದ್ದರು.
ಡಿಜಿಟಲ್ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳು ಕಾರ್ಯನಿರ್ವಹಿಸಲು ಈ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಕೀಗಳು ಅತ್ಯಂತ ಮುಖ್ಯ. ಪ್ರೈವೇಟ್ ಕೀಗಳನ್ನು ಅತ್ಯಂತ ರಹಸ್ಯವಾಗಿಡಲಾಗುತ್ತದೆ. ವೆಬ್‌ಸೈಟ್ ಅಥವಾ ಸಾಫ್ಟ್‌ವೇರ್ ಸಂಸ್ಥೆಯ ನೈಜತೆಯನ್ನು ದೃಢೀಕರಿಸಲು ಇವುಗಳನ್ನು ಬಳಸಲಾಗುತ್ತದೆ. ಹೊರಗಿನವರು ಇವುಗಳನ್ನು ಊಹಿಸಲು ಅಥವಾ ಮರುಸೃಷ್ಟಿಸಲು ಸಾಧ್ಯವಾಗದಂತೆ ತಡೆಯಲು, ಕೀಗಳನ್ನು ರಚಿಸುವಾಗ ಸಾಕಷ್ಟು ರಾಂಡಮ್‌ನೆಸ್ ಇರುವುದು ಅಗತ್ಯ.
ಆದರೆ, ಇ-ಮುದ್ರಾ ಪ್ರಕರಣದಲ್ಲಿ ಈ ಲೋಪದ ಕಾರಣದಿಂದಾಗಿ ಸೈಬರ್ ದಾಳಿಕೋರರು ಕೆಲವೇ ಸೆಕೆಂಡುಗಳಲ್ಲಿ ಈ ಪ್ರೈವೇಟ್ ಕೀಗಳನ್ನು ಮರುಸೃಷ್ಟಿಸುವ ಅಪಾಯವಿತ್ತು. ಇದರಿಂದ ನೈಜ ವೆಬ್‌ಸೈಟ್‌ಗಳಂತೆಯೇ ಕಾಣುವ ನಕಲಿ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಸೃಷ್ಟಿಸಲು, ಮೂಲ ವೆಬ್‌ಸೈಟ್‌ಗಳಂತೆ ನಟಿಸಲು ಮತ್ತು ಹಾನಿಕಾರಕ ಸಾಫ್ಟ್‌ವೇರ್‌ಗಳನ್ನು ಸುರಕ್ಷಿತವೆಂದು ಬಿಂಬಿಸಲು ಹ್ಯಾಕರ್‌ಗಳಿಗೆ ಅವಕಾಶ ಸಿಗುತ್ತಿತ್ತು.
ಇ-ಮುದ್ರಾ ಮತ್ತು ಸರ್ಟಿಫಿಕೇಶನ್ ಸಂಸ್ಥೆಗಳ ಪಾತ್ರ
2008ರಲ್ಲಿ ಸ್ಥಾಪನೆಯಾದ ಇ-ಮುದ್ರಾ ಭಾರತದ ಅತಿ ದೊಡ್ಡ ಡಿಜಿಟಲ್ ಐಡೆಂಟಿಟಿ ಮತ್ತು ಸೆಕ್ಯುರಿಟಿ ಕಂಪನಿಗಳಲ್ಲಿ ಒಂದಾಗಿದೆ. ಇದು ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ನೀಡುತ್ತದೆ, ಎಲೆಕ್ಟ್ರಾನಿಕ್ ಸೈನಿಂಗ್ ಸೇವೆಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ ಹಾಗೂ ಆನ್‌ಲೈನ್ ಗುರುತು ದೃಢೀಕರಣ ಮತ್ತು ಡಿಜಿಟಲ್ ವಹಿವಾಟುಗಳ ಸುರಕ್ಷತೆಗೆ ತಂತ್ರಜ್ಞಾನವನ್ನು ಪೂರೈಸುತ್ತದೆ.
ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ ಸರ್ಟಿಫಿಕೇಟ್ ಮಾರುಕಟ್ಟೆಯಲ್ಲಿ ಭಾರತದ ಅತಿ ದೊಡ್ಡ ಸರ್ಟಿಫೈಯಿಂಗ್ ಅಥಾರಿಟಿಯಾಗಿ ಇ-ಮುದ್ರಾ ಗುರುತಿಸಿಕೊಂಡಿದೆ. 2024ರ 'ಫ್ರಾಸ್ಟ್ & ಸುಲ್ಲಿವಾನ್' ಅಧ್ಯಯನವನ್ನು ಉಲ್ಲೇಖಿಸಿ ಕಂಪನಿಯು ಮೇ 2026ರಲ್ಲಿ ಬಿಡುಗಡೆ ಮಾಡಿದ ಹೂಡಿಕೆದಾರರ ವರದಿಯ ಪ್ರಕಾರ, ಮೌಲ್ಯದ ಆಧಾರದಲ್ಲಿ ಕಂಪನಿಯು ಶೇ 38ರಷ್ಟು ಮಾರುಕಟ್ಟೆ ಪಾಲು ಹೊಂದಿದೆ. 35ಕ್ಕೂ ಹೆಚ್ಚು ದೇಶಗಳಲ್ಲಿ ಕಾರ್ಯಾಚರಣೆ ನಡೆಸುತ್ತಿರುವ ಈ ಸಂಸ್ಥೆಯು ಉದ್ಯಮಗಳು, ಹಣಕಾಸು ಸಂಸ್ಥೆಗಳು ಮತ್ತು ಸರ್ಕಾರಿ ಸಂಸ್ಥೆಗಳಿಗೆ ಸೇವೆ ಒದಗಿಸುತ್ತಿದೆ.
ವೆಬ್‌ಸೈಟ್‌ಗಳು, ವ್ಯಕ್ತಿಗಳು ಅಥವಾ ಸಂಸ್ಥೆಗಳ ಗುರುತನ್ನು ಸ್ಥಾಪಿಸುವ ಡಿಜಿಟಲ್ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ನೀಡುವ ಜವಾಬ್ದಾರಿಯನ್ನು 'ಸರ್ಟಿಫಿಕೇಶನ್ ಅಥಾರಿಟಿ'ಗಳು ಹೊಂದಿರುತ್ತವೆ. ಈ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳು ಇಂಟರ್ನೆಟ್‌ನ 'ಪಬ್ಲಿಕ್ ಕೀ ಇನ್‌ಫ್ರಾಸ್ಟ್ರಕ್ಚರ್' (PKI) ವ್ಯವಸ್ಥೆಯ ಭಾಗವಾಗಿದ್ದು, ಬಳಕೆದಾರರು ಮತ್ತು ಕಂಪ್ಯೂಟರ್ ವ್ಯವಸ್ಥೆಗಳು ಪರಸ್ಪರ ಸುರಕ್ಷಿತವಾಗಿ ಸಂವಹನ ನಡೆಸಲು ನೆರವಾಗುತ್ತವೆ.
ಉದಾಹರಣೆಗೆ, ಬಳಕೆದಾರರು HTTPSನಿಂದ ಪ್ರಾರಂಭವಾಗುವ ವೆಬ್‌ಸೈಟ್ ತೆರೆದಾಗ, ಆ ವೆಬ್‌ಸೈಟ್‌ನ ಗುರುತನ್ನು ನಂಬಬಹುದೇ ಮತ್ತು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಸಂಪರ್ಕವನ್ನು ಸ್ಥಾಪಿಸಬಹುದೇ ಎಂಬುದನ್ನು ಬ್ರೌಸರ್ ಅದರ ಡಿಜಿಟಲ್ ಸರ್ಟಿಫಿಕೇಟ್ ಮೂಲಕ ಪರಿಶೀಲಿಸುತ್ತದೆ.
ಈ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ವಿಶ್ವಾಸಾರ್ಹ ರೂಟ್ ಅಥಾರಿಟಿಗಳು, ಇಂಟರ್‌ಮೀಡಿಯೇಟ್ ಅಥಾರಿಟಿಗಳು ಹಾಗೂ ವೆಬ್‌ಸೈಟ್‌ಗಳಿಗೆ ನೀಡಲಾದ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಒಳಗೊಂಡ ಶ್ರೇಣೀಕೃತ ವ್ಯವಸ್ಥೆಯ ಮೂಲಕ ವಿತರಿಸಲಾಗುತ್ತದೆ.
ಭಾರತದಲ್ಲಿ ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ನೀಡುವ ಸರ್ಟಿಫೈಯಿಂಗ್ ಅಥಾರಿಟಿಗಳಿಗೆ ಮಾಹಿತಿ ತಂತ್ರಜ್ಞಾನ ಕಾಯ್ದೆ, 2000ರ ಅಡಿಯಲ್ಲಿ 'ಕಂಟ್ರೋಲರ್ ಆಫ್ ಸರ್ಟಿಫೈಯಿಂಗ್ ಅಥಾರಿಟೀಸ್' ಪರವಾನಗಿ ನೀಡುತ್ತದೆ. 'ಸೇಫ್‌ಸ್ಕ್ರಿಪ್ಟ್', 'ಕ್ಯಾಪ್ರಿಕಾರ್ನ್' ಮತ್ತು 'ಎನ್‌ಕೋಡ್' ಇತರ ಪರವಾನಗಿ ಪಡೆದ ಸಂಸ್ಥೆಗಳಾಗಿವೆ. ಈ ದೇಶೀಯ ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ ಸೇವೆಗಳು, ಇತ್ತೀಚಿನ ಘಟನೆಯಿಂದ ಬಾಧಿತವಾಗಿರುವ ಜಾಗತಿಕ ವೆಬ್‌ಸೈಟ್-ಸರ್ಟಿಫಿಕೇಟ್ ಮೂಲಸೌಕರ್ಯದಿಂದ ಭಿನ್ನವಾಗಿವೆ.
ಖ್ಯಾತಿಗೆ ಧಕ್ಕೆಯಾಗುವ ಸಂಭಾವ್ಯ ಆತಂಕ
ಅಕ್ಟೋಬರ್ 21ರಂದು ಬಿಡುಗಡೆ ಮಾಡಿದ ಹೇಳಿಕೆಯಲ್ಲಿ, 2025ರ ಏಪ್ರಿಲ್ 30ರಂದು ನಡೆಸಿದ ಕೀ-ಜನರೇಷನ್ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ ಈ ದೋಷ ಉಂಟಾಗಿರುವುದಾಗಿ ಇ-ಮುದ್ರಾ ಒಪ್ಪಿಕೊಂಡಿದೆ. ಕಂಪನಿಯ ಪ್ರಕಾರ, ಆ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿದ್ದ ದೋಷದಿಂದಾಗಿ ಮೂಲ ದೃಢವಾದ ಕೀಗಳ ಜೊತೆಗೆ ಎರಡನೇ ಸೆಟ್‌ನ ದುರ್ಬಲ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಕೀಗಳು ಸೃಷ್ಟಿಯಾಗಿವೆ. ಬಳಿಕ ಈ ದುರ್ಬಲ ಕೀಗಳನ್ನು ಬ್ರೌಸರ್ ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್‌ಗಳಲ್ಲಿ ಪ್ರಕಟಿಸಲಾಗಿದೆ.
ತಮ್ಮ ಮೂಲಸೌಕರ್ಯಕ್ಕೆ ಯಾವುದೇ ಧಕ್ಕೆಯಾಗಿಲ್ಲ, ಯಾವುದೇ ಡೇಟಾ ಸೋರಿಕೆಯಾಗಿಲ್ಲ ಮತ್ತು ತಮ್ಮ ಭೌತಿಕ ಹಾಗೂ ತಾರ್ಕಿಕ ಭದ್ರತಾ ನಿಯಂತ್ರಣಗಳು ಸುರಕ್ಷಿತವಾಗಿವೆ ಎಂದು ಕಂಪನಿ ಸ್ಪಷ್ಟಪಡಿಸಿದೆ. "ಆದರೆ, ಇದು ಇ-ಮುದ್ರಾದ ಖ್ಯಾತಿಯ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರಬಹುದು, ಇದನ್ನು ಅಂದಾಜಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ" ಎಂದು ಅದು ತಿಳಿಸಿದೆ.
ಈ ಘಟನೆಗೂ ಪ್ರತ್ಯೇಕ ಮೂಲಸೌಕರ್ಯದಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಭಾರತೀಯ ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ ಸರ್ಟಿಫಿಕೇಟ್ ಹಾಗೂ ಇ-ಸೈನ್ (eSign) ವ್ಯವಹಾರಗಳಿಗೂ ಯಾವುದೇ ಸಂಬಂಧವಿಲ್ಲ ಎಂದು ಕಂಪನಿ ಹೇಳಿದೆ. ಬಾಧಿತವಾಗಿರುವ ಜಾಗತಿಕ 'ಟ್ರಾನ್ಸ್‌ಪೋರ್ಟ್ ಲೇಯರ್ ಸೆಕ್ಯುರಿಟಿ' (TLS) ವ್ಯವಹಾರವು ಕಂಪನಿಯ ಒಟ್ಟು ಆದಾಯದ ಶೇ 1ರಷ್ಟು ಮಾತ್ರ ಹೊಂದಿದೆ ಎಂದು ಅದು ತಿಳಿಸಿದೆ. ಆದರೂ, ಈ ಘಟನೆಯು ಸಂಸ್ಥೆಯ ಖ್ಯಾತಿಗೆ ಎಷ್ಟು ಧಕ್ಕೆ ತರಬಹುದು ಎಂಬುದನ್ನು ಅಂದಾಜಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ ಎಂದಿದೆ. TLS ಎನ್ನುವುದು ವೆಬ್‌ಸೈಟ್ ದಟ್ಟಣೆಯನ್ನು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡುವ, ಸರ್ವರ್‌ನ ಗುರುತನ್ನು ದೃಢೀಕರಿಸುವ ಮತ್ತು ಗ್ರಾಹಕರ ಸೂಕ್ಷ್ಮ ಡೇಟಾವನ್ನು ರಕ್ಷಿಸುವ ಪ್ರಮುಖ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಪ್ರೋಟೋಕಾಲ್ ಆಗಿದೆ.
ಪ್ರತ್ಯೇಕವಾಗಿ, ಬಾಧಿತ ಮಧ್ಯಂತರ ಅಥಾರಿಟಿಗಳಲ್ಲಿ ಕೇವಲ ಒಂದನ್ನು ಮಾತ್ರ ಬಳಕೆಗೆ ತರಲಾಗಿತ್ತು ಮತ್ತು ಅಂತಿಮ ಬಳಕೆದಾರರಿಗೆ ಯಾವುದೇ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ನೀಡಿರಲಿಲ್ಲ ಎಂದು ಇ-ಮುದ್ರಾ ಹೇಳಿದೆ. ಘಟನೆಯ ಮೂಲ ಕಾರಣದ ಬಗ್ಗೆ ತನಿಖೆ ನಡೆಸುತ್ತಿದ್ದು, ಬಾಧಿತ ಗ್ರಾಹಕರೊಂದಿಗೆ ಕೆಲಸ ಮಾಡಿ ಬದಲಿ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಒದಗಿಸುತ್ತಿರುವುದಾಗಿ ತಿಳಿಸಿದೆ.
ನಿಯಂತ್ರಕ ಸಂಸ್ಥೆಯ ಪ್ರತಿಕ್ರಿಯೆ
ಎಲೆಕ್ಟ್ರಾನಿಕ್ಸ್ ಮತ್ತು ಮಾಹಿತಿ ತಂತ್ರಜ್ಞಾನ ಸಚಿವಾಲಯದ ಅಡಿಯಲ್ಲಿ ಬರುವ 'ಭಾರತೀಯ ಕಂಪ್ಯೂಟರ್ ತುರ್ತು ಪ್ರತಿಕ್ರಿಯೆ ತಂಡ' (CERT-In) ಅಕ್ಟೋಬರ್ 21ರಂದು ಎಚ್ಚರಿಕೆಯ ಸಂದೇಶವನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿದೆ. ಇ-ಮುದ್ರಾದ ಎಂಟು ಮಧ್ಯಂತರ CA ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳಲ್ಲಿ ದೋಷವಿರುವುದಾಗಿ ಅದು ಎಚ್ಚರಿಸಿದೆ.
ಪ್ರೈವೇಟ್ ಕೀಗಳನ್ನು ಉತ್ಪಾದಿಸುವಾಗ ಸಾಕಷ್ಟು ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ರಾಂಡಮ್‌ನೆಸ್ ಇಲ್ಲದಿರುವುದರಿಂದ ಈ ದೋಷ ಉಂಟಾಗಿದೆ ಮತ್ತು ಅವುಗಳನ್ನು ಸುಲಭವಾಗಿ ಮರುಪಡೆಯಬಹುದು ಎಂದು ಸಂಸ್ಥೆ ತಿಳಿಸಿದೆ. ಈ ರಾಜಿ ಮಾಡಿಕೊಂಡ ಕೀಗಳನ್ನು ಬಳಸಿ ನಕಲಿ TLS ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ನೀಡಬಹುದು, ನೈಜ ವೆಬ್‌ಸೈಟ್‌ಗಳಂತೆ ನಟಿಸಬಹುದು ಮತ್ತು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಸಂವಹನಗಳನ್ನು ತಡೆಯಬಹುದು ಅಥವಾ ಮಾರ್ಪಡಿಸಬಹುದು ಎಂದು ಅದು ಎಚ್ಚರಿಸಿದೆ. ಹಾನಿಕಾರಕ ಸಾಫ್ಟ್‌ವೇರ್‌ಗಳನ್ನು ವಿಶ್ವಾಸಾರ್ಹವೆಂದು ಬಿಂಬಿಸಲು ಬಾಧಿತ ಕೋಡ್-ಸೈನಿಂಗ್ ಕೀಗಳನ್ನು ದುರ್ಬಳಕೆ ಮಾಡಿಕೊಳ್ಳಬಹುದು.
ಇತ್ತೀಚಿನ ಬ್ರೌಸರ್ ಮತ್ತು ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್ ಭದ್ರತಾ ಅಪ್‌ಡೇಟ್‌ಗಳನ್ನು ಇನ್‌ಸ್ಟಾಲ್ ಮಾಡಿಕೊಳ್ಳುವಂತೆ ಬಳಕೆದಾರರು ಮತ್ತು ಸಂಸ್ಥೆಗಳಿಗೆ CERT-In ಸಲಹೆ ನೀಡಿದೆ. ಬಾಧಿತ ಅಥಾರಿಟಿಗಳನ್ನು ಅವಲಂಬಿಸಿರುವ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಗುರುತಿಸಲು, ಅಗತ್ಯವಿರುವ ಕಡೆ ಅವುಗಳನ್ನು ಬದಲಿಸಲು ಮತ್ತು ತಮ್ಮ ಸಿಸ್ಟಮ್‌ಗಳಲ್ಲಿ ಅಪ್‌ಡೇಟ್ ಮಾಡಲಾದ ಸರ್ಟಿಫಿಕೇಟ್ ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್‌ಗಳಿರುವುದನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳುವಂತೆ ವೆಬ್‌ಸೈಟ್ ನಿರ್ವಾಹಕರಿಗೆ ಸೂಚಿಸಲಾಗಿದೆ.
ಅಧಿಕೃತವಲ್ಲದ ವಿತರಣೆಗಾಗಿ ಸರ್ಟಿಫಿಕೇಟ್ ಟ್ರಾನ್ಸ್‌ಪರೆನ್ಸಿ ಲಾಗ್‌ಗಳನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಲು ಮತ್ತು ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಕೀ ನಿರ್ವಹಣಾ ಪದ್ಧತಿಗಳನ್ನು ಬಲಪಡಿಸಲು ಸಹ ಅದು ಶಿಫಾರಸು ಮಾಡಿದೆ. ಬಳಕೆದಾರರು ಬ್ರೌಸರ್ ಸರ್ಟಿಫಿಕೇಟ್ ಎಚ್ಚರಿಕೆಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸಬಾರದು ಅಥವಾ ಸರ್ಟಿಫಿಕೇಟ್ ಪರಿಶೀಲನೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಬಾರದು.
ನಿರ್ದಿಷ್ಟವಾಗಿ ಹೇಳುವುದಾದರೆ, ಬಳಕೆದಾರರ ಮಾಹಿತಿಯನ್ನು ಕದಿಯಲು ರಾಜಿ ಮಾಡಿಕೊಂಡ ಕೀಗಳನ್ನು ವಾಸ್ತವವಾಗಿ ಬಳಸಲಾಗಿದೆಯೇ ಎಂಬುದನ್ನು CERT-Inನ ಎಚ್ಚರಿಕೆಯ ಸಂದೇಶವಾಗಲಿ ಅಥವಾ ಬ್ರೌಸರ್ ಕಂಪನಿಗಳ ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯಾಗಲಿ ದೃಢೀಕರಿಸುವುದಿಲ್ಲ. ಬ್ಲಾಕ್ ಮಾಡುವ ಕ್ರಮ ಕೈಗೊಳ್ಳುವ ಮೊದಲು, ಆರು ಬಾಧಿತ ಮಧ್ಯಂತರ ಅಥಾರಿಟಿಗಳಿಗೆ ಸಂಬಂಧಿಸಿದ ಯಾವುದೇ ವೆಬ್‌ಸೈಟ್ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳು ಟ್ರಾನ್ಸ್‌ಪರೆನ್ಸಿ ಲಾಗ್‌ಗಳಲ್ಲಿ ದಾಖಲಾಗಿರಲಿಲ್ಲ ಎಂದು ಗೂಗಲ್ ಹೇಳಿದೆ. ಇದರಿಂದಾಗಿ ಈ ಪರಿಶೀಲನೆಗಳನ್ನು ಜಾರಿಗೆ ತರುವ ಬ್ರೌಸರ್‌ಗಳು ನಕಲಿ ಸರ್ಟಿಫಿಕೇಟ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸುವ ಸಾಧ್ಯತೆ ಕಡಿಮೆ ಇರುತ್ತದೆ.
ಸೌಜನ್ಯ: indianexpress.com