ಇ-ಮುದ್ರಾದಲ್ಲಿ ಭಾರಿ ಭದ್ರತಾ ಲೋಪ; ಇಂಟರ್ನೆಟ್ ವ್ಯವಸ್ಥೆಯೇ ಕುಸಿಯುವ ಭೀತಿ ಇತ್ತು ಎಂದ ತಜ್ಞರು!
eMudhra ಕಂಪೆನಿಯು ಈಗ ಭಾರಿ ಚರ್ಚೆಯಲ್ಲಿದೆ. ಈ ಭಾರತೀಯ ಸೈಬರ್ ಭದ್ರತಾ ಸಂಸ್ಥೆ ವಿತರಿಸಿದ ಡಿಜಿಟಲ್ ಪ್ರಮಾಣಪತ್ರಗಳ ಕೀಗಳು ಎಷ್ಟು ದುರ್ಬಲವಾಗಿದ್ದವೆಂದರೆ, ಇಡೀ ಇಂಟರ್ನೆಟ್ ವ್ಯವಸ್ಥೆಯ ಸುರಕ್ಷತೆಯ ಬಗ್ಗೆಯೇ ಜಾಗತಿಕ ಮಟ್ಟದಲ್ಲಿ ಆತಂಕ ವ್ಯಕ್ತವಾಗಿತ್ತು. ಈ ವಿಚಾರ ಚರ್ಚೆಗೆ ಗ್ರಾಸವಾಗುತ್ತಿದ್ದಂತೆ eMudhra ಟಿಎಲ್ಎಸ್ ಪ್ರಮಾಣಪತ್ರಗಳ ವ್ಯವಹಾರದಿಂದ ಹಿಂದೆ ಸರಿದಿದೆ. ಆದರೂ ಆತಂಕಗಳು ಸಂಪೂರ್ಣವಾಗಿ ದೂರವಾಗಿಲ್ಲ.
eMudhraದಲ್ಲಿನ ಭದ್ರತಾ ಲೋಪವು ಇಂಟರ್ನೆಟ್ ವ್ಯವಸ್ಥೆಯನ್ನೇ ಅಸ್ತವ್ಯಸ್ತಗೊಳಿಸುವ ಸಾಧ್ಯತೆಯಿತ್ತು. ಆದರೆ ತಂತ್ರಜ್ಞಾನ ಕಂಪೆನಿಗಳು ಸಮಯೋಚಿತವಾಗಿ ಸ್ಪಂದಿಸಿದ್ದರಿಂದ ದೊಡ್ಡ ಬಿಕ್ಕಟ್ಟು ತಪ್ಪಿದೆ.
eMudhra ಸಂಸ್ಥೆಯು ಡಿಜಿಟಲ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ವಿತರಿಸುವ ವ್ಯವಹಾರದಲ್ಲಿತ್ತು. ಈ ಪ್ರಮಾಣಪತ್ರಗಳು ವೆಬ್‌ಸೈಟ್‌ಗಳು ಮತ್ತು ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್‌ಗಳಿಗೆ ಪ್ಯಾಡ್‌ಲಾಕ್ ಚಿಹ್ನೆಯನ್ನು ಒದಗಿಸುವ ಮೂಲಕ ಅವುಗಳ ಅಧಿಕೃತತೆಯನ್ನು ದೃಢೀಕರಿಸಲು ನೆರವಾಗುತ್ತವೆ. eMudhra ವಿತರಿಸಿದ ಡಿಜಿಟಲ್ ಕೀಲಿಗಳಲ್ಲಿ ದೋಷಗಳಿವೆ ಎಂಬ ಮಾಹಿತಿ ಹೊರಬಂದ ಬಳಿಕ ಸಂಸ್ಥೆಯು ಟಿಎಲ್ಎಸ್ ಪ್ರಮಾಣಪತ್ರಗಳ ವ್ಯವಹಾರದಿಂದ ಹಿಂದೆ ಸರಿಯಿತು. ಸಾಮಾಜಿಕ ಜಾಲತಾಣಗಳಲ್ಲಿ ನಡೆದ ಟ್ರೋಲಿಂಗ್ ಕೂಡ ಈ ನಿರ್ಧಾರಕ್ಕೆ ಒಂದು ಕಾರಣ ಎಂದು ಸಂಸ್ಥೆ ತಿಳಿಸಿದೆ.
ಡಿಜಿಟಲ್ ಕೀಲಿಗಳು ಎನ್‌ಕ್ರಿಪ್ಶನ್‌ ಗಾಗಿ ಅತ್ಯಂತ ಸಂಕೀರ್ಣವಾದ ಸಂಕೇತಗಳನ್ನು ಹೊಂದಿರಬೇಕು. ಆದರೆ eMudhraದ ತಂತ್ರಾಂಶದಲ್ಲಿನ ದೋಷದಿಂದಾಗಿ ಈ ಕೀಲಿಗಳು ಅತ್ಯಂತ ಚಿಕ್ಕದಾಗಿ ಸೃಷ್ಟಿಯಾಗಿದ್ದವು. ಅವು ಎಷ್ಟು ದುರ್ಬಲವಾಗಿದ್ದವೆಂದರೆ, ಹ್ಯಾಕರ್ ಗಳು ಅಥವಾ ಸೈಬರ್ ಭದ್ರತಾ ಸಂಶೋಧಕರು ಒಂದು ಸೆಕೆಂಡ್‌ಗಿಂತಲೂ ಕಡಿಮೆ ಅವಧಿಯಲ್ಲಿ ಅವುಗಳನ್ನು ಭೇದಿಸಬಹುದಾಗಿತ್ತು. ಇದರಿಂದ ಬಳಕೆದಾರರ ಪಾಸ್‌ವರ್ಡ್‌ ಗಳು, ಬ್ಯಾಂಕಿಂಗ್ ವಿವರಗಳು ಮತ್ತು ಇತರ ಸೂಕ್ಷ್ಮ ಮಾಹಿತಿಯನ್ನು ಕದಿಯುವ ಜಾಗತಿಕ ಅಪಾಯ ಎದುರಾಗಿತ್ತು.
ಏನು ತಪ್ಪಾಗಿತ್ತು?
eMudhra ಬಿಡುಗಡೆ ಮಾಡಿದ ಕೆಲವು ಪ್ರಮಾಣಪತ್ರಗಳಲ್ಲಿ ಆಘಾತಕಾರಿಯಾಗಿ ದುರ್ಬಲವಾದ ಕೀಲಿಗಳಿದ್ದವು. ಸಾಮಾನ್ಯವಾಗಿ ಇಂತಹ ಕೀಲಿಗಳನ್ನು 384 ಬಿಟ್‌ಗಳಷ್ಟು ಯಾದೃಚ್ಛಿಕ ಮೌಲ್ಯಗಳನ್ನು ಬಳಸಿ ರಚಿಸಬೇಕಾಗುತ್ತದೆ. ಆದರೆ ವಿವಾದಕ್ಕೆ ಕಾರಣವಾದ eMudhraದ ಡಿಜಿಟಲ್ ಪ್ರಮಾಣಪತ್ರಗಳ ಕೀಲಿಗಳು ಬಹಳ ಚಿಕ್ಕದಾಗಿದ್ದು, ಸುಲಭವಾಗಿ ಊಹಿಸಿ ಭೇದಿಸಬಹುದಾದಷ್ಟು ದುರ್ಬಲವಾಗಿದ್ದವು. ಅವುಗಳ ಮೌಲ್ಯಗಳು 4, 56, 66, 115, 155, 156, 230 ಮತ್ತು 237ರಷ್ಟಿದ್ದವು.
ಇದರ ಪರಿಣಾಮವಾಗಿ ಹ್ಯಾಕರ್ ಒಬ್ಬ ನಕಲಿ ಬ್ಯಾಂಕ್ ವೆಬ್ಸೈಟ್ ಸೃಷ್ಟಿಸಿ, ದೋಷಪೂರಿತ ಕೀಲಿಗಳಲ್ಲೊಂದನ್ನು ಬಳಸಿ ಪ್ರಮಾಣಪತ್ರ ಪಡೆಯಬಹುದಾಗಿತ್ತು. ಆ ಮೂಲಕ ವೆಬ್ಸೈಟ್ ಅಧಿಕೃತವಾಗಿದೆ ಎಂಬ ಭಾವನೆ ಮೂಡಿಸುವ ‘ಪ್ಯಾಡ್‌ಲಾಕ್’ ಚಿಹ್ನೆಯನ್ನೂ ಪಡೆಯಬಹುದಾಗಿತ್ತು.
ಈ ದೋಷವನ್ನು ಪತ್ತೆಹಚ್ಚಿದ ಸಂಶೋಧಕ ವೇಯ್ನ್ ಅವರು ಗೂಗಲ್, ಆಪಲ್, ಮೈಕ್ರೋಸಾಫ್ಟ್ ಮತ್ತು ಮೊಜಿಲ್ಲಾ ಸಂಸ್ಥೆಗಳಿಗೆ ಈ ಕೀಲಿಗಳ ಬಗ್ಗೆ ಮಾಹಿತಿ ನೀಡಿದರು. ಕೆಲವೇ ಗಂಟೆಗಳಲ್ಲಿ ಈ ಕಂಪೆನಿಗಳು ದೋಷಪೂರಿತ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ತಮ್ಮ ಬ್ರೌಸರ್‌ಗಳಲ್ಲಿ ನಿರ್ಬಂಧಿಸಿದವು. ಹೀಗಾಗಿ ಯಾವುದೇ ಹಾನಿ ಸಂಭವಿಸುವ ಮೊದಲೇ ಪರಿಸ್ಥಿತಿಯನ್ನು ನಿಯಂತ್ರಣಕ್ಕೆ ತರಲಾಯಿತು.
ಯಾವುದೇ ವೆಬ್ಸೈಟ್ ಗೆ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡಲು ಈ ಕೀಲಿಗಳನ್ನು ವಾಸ್ತವದಲ್ಲಿ ಬಳಸಿಲ್ಲ ಎಂದು eMudhra ಸ್ಪಷ್ಟಪಡಿಸಿದೆ. ಭಾರತದ ಸೈಬರ್ ಭದ್ರತಾ ಸಂಸ್ಥೆ CERT-In ಕೂಡ ಸಲಹಾ ಸೂಚನೆ ಹೊರಡಿಸಿದ್ದು, ಬಳಕೆದಾರರು ತಮ್ಮ ಬ್ರೌಸರ್‌ಗಳು ಮತ್ತು ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂಗಳನ್ನು ಇತ್ತೀಚಿನ ಆವೃತ್ತಿಗೆ ನವೀಕರಿಸಿಕೊಳ್ಳುವಂತೆ ಸೂಚಿಸಿದೆ.
ಆದರೆ, ಈ ಕೀಲಿಗಳನ್ನು 2025ರ ಎಪ್ರಿಲ್‌ ನಲ್ಲಿ ರಚಿಸಲಾಗಿತ್ತು. ಅಂದಿನಿಂದ ಅವು eMudhraದ ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿದ್ದವು. ತಜ್ಞರ ಪ್ರಕಾರ, ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರಗಳಲ್ಲಿರುವ ಮಾಹಿತಿಯನ್ನು ಬಳಸಿಕೊಂಡು ಯಾರೇ ಆದರೂ ಮಿಲಿಸೆಕೆಂಡ್‌ಗಳಲ್ಲೇ ಈ ಕೀಲಿಗಳ ಮೌಲ್ಯಗಳನ್ನು ಲೆಕ್ಕಹಾಕಬಹುದಾಗಿತ್ತು. ಬ್ಯಾಂಕ್ ಗಳು, ಇಮೇಲ್ ಸೇವಾ ಪೂರೈಕೆದಾರರು ಅಥವಾ ಸರ್ಕಾರಿ ಪೋರ್ಟಲ್‌ಗಳು ಸೇರಿದಂತೆ ಯಾವುದೇ ವೆಬ್‌ಸೈಟ್‌ಗೆ ನಕಲಿ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಸೃಷ್ಟಿಸಿ, ಅವು ವಿಶ್ವಾಸಾರ್ಹವೆಂದು ಬಿಂಬಿಸಲು ಈ ಕೀಲಿಗಳನ್ನು ಬಳಸುವ ಸಾಧ್ಯತೆಯಿತ್ತು.
ಇಂತಹ ಗಂಭೀರ ಭದ್ರತಾ ಲೋಪವು ದೀರ್ಘಕಾಲ ಪತ್ತೆಯಾಗದೆ ಉಳಿದಿರುವುದು eMudhraದ ಭದ್ರತಾ ವ್ಯವಸ್ಥೆಗಳ ಬಗ್ಗೆ ಗಂಭೀರ ಪ್ರಶ್ನೆಗಳನ್ನು ಹುಟ್ಟುಹಾಕಿದೆ ಎಂದು ತಜ್ಞರು ಅಭಿಪ್ರಾಯಪಟ್ಟಿದ್ದಾರೆ.
ಜನಸಾಮಾನ್ಯರಿಗೆ ಏನು ಸಮಸ್ಯೆಯಾಗಲಿದೆ?
ಸಾಮಾನ್ಯವಾಗಿ ಬಳಸುವ ಗೂಗಲ್ ಕ್ರೋಮ್ ಮತ್ತು ಆಪಲ್ ಸಫಾರಿಯಂತಹ ಬ್ರೌಸರ್ ಗಳು ಈ ದೋಷಪೂರಿತ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನಿರ್ಬಂಧಿಸಿವೆ. ಆದ್ದರಿಂದ ಬ್ರೌಸರ್ ಮತ್ತು ಸಾಧನದ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂ ಅನ್ನು ನವೀಕರಿಸಿಕೊಂಡರೆ ಬಳಕೆದಾರರ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುವ ಸಾಧ್ಯತೆ ಕಡಿಮೆ.
ಆದರೆ ಆತಂಕ ಸಂಪೂರ್ಣವಾಗಿ ದೂರವಾಗಿಲ್ಲ. ಈ ಸಮಸ್ಯೆ ಕೇವಲ ಬ್ರೌಸರ್‌ಗಳಿಗೆ ಸೀಮಿತವಾಗಿಲ್ಲ. ಪಾವತಿ ಟರ್ಮಿನಲ್‌ಗಳು, ಹಳೆಯ ಆಂಡ್ರಾಯ್ಡ್ ಫೋನ್‌ಗಳು, ಬ್ಯಾಂಕಿಂಗ್ ಆ್ಯಪ್‌ಗಳು ಮತ್ತು ಎಂಟರ್‌ಪ್ರೈಸ್ ವ್ಯವಸ್ಥೆಗಳಂತಹ ತಂತ್ರಾಂಶಗಳಲ್ಲಿ ಹೆಚ್ಚಿನ ಅಪಾಯವಿದೆ. ಇವುಗಳ ಸುರಕ್ಷತೆಯು ಆಯಾ ತಂತ್ರಾಂಶ ತಯಾರಕರು ಒದಗಿಸುವ ನವೀಕರಣಗಳನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆ.
ಈ ಘಟನೆಯಿಂದ ಇಂಟರ್ನೆಟ್ ಗೆ ದೊಡ್ಡ ಮಟ್ಟದ ಹಾನಿಯಾಗದಿದ್ದರೂ, ವೆಬ್ಸೈಟ್ ಗಳು ನಿಜವಾಗಿಯೂ ಎಷ್ಟು ಸುರಕ್ಷಿತ ಎಂಬ ಪ್ರಶ್ನೆ ಎದುರಾಗಿದೆ. ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ವಿತರಿಸುವ ಮೂಲಸೌಕರ್ಯವೇ ರಾಜಿ ಮಾಡಿಕೊಂಡಿದ್ದರೆ, ಕೇವಲ ಪ್ಯಾಡ್‌ ಲಾಕ್ ಚಿಹ್ನೆಯು ಸುರಕ್ಷತೆಯ ಖಾತರಿ ನೀಡುವುದಿಲ್ಲ ಎಂಬುದಕ್ಕೆ ಈ ಘಟನೆ ಎಚ್ಚರಿಕೆಯಾಗಿದೆ ಎಂದು ತಜ್ಞರು ಹೇಳಿದ್ದಾರೆ.
