ਨਵੀਂ ਦਿੱਲੀ — ਭਾਰਤ ਦੀ ਪ੍ਰਮੁੱਖ ਡਿਜੀਟਲ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ eMudhra ਇੱਕ ਗੰਭੀਰ ਸੁਰੱਖਿਆ ਸੰਕਟ ਵਿੱਚ ਘਿਰ ਗਈ ਹੈ। ਇੱਕ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾ ਨੇ ਖੁਲਾਸਾ ਕੀਤਾ ਹੈ ਕਿ ਕੰਪਨੀ ਦੀਆਂ ਅੱਠ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ (CA) ਚਾਬੀਆਂ ਇੰਨੀਆਂ ਕਮਜ਼ੋਰ ਸਨ ਕਿ ਕੋਈ ਵੀ ਉਨ੍ਹਾਂ ਨੂੰ ਸਕਿੰਟਾਂ ਵਿੱਚ ਕੱਢ ਸਕਦਾ ਸੀ। ਇਨ੍ਹਾਂ ਚਾਬੀਆਂ ਨਾਲ ਕਿਸੇ ਵੀ ਵੈੱਬਸਾਈਟ ਜਾਂ ਸਾਫਟਵੇਅਰ ਲਈ ਭਰੋਸੇਯੋਗ ਦਿੱਸਣ ਵਾਲਾ ਜਾਅਲੀ HTTPS ਸਰਟੀਫਿਕੇਟ ਬਣਾਇਆ ਜਾ ਸਕਦਾ ਸੀ, ਜਿਸ ਨਾਲ ਹਮਲਾਵਰ ਉਪਭੋਗਤਾਵਾਂ ਦਾ ਇੰਟਰਨੈੱਟ ਟ੍ਰੈਫ਼ਿਕ ਚੁੱਪਚਾਪ ਰੋਕ ਸਕਦੇ ਸਨ।

ਖੋਜਕਰਤਾ “Wayne” ਨੇ 17 ਅਕਤੂਬਰ ਨੂੰ ਹਰੇਕ ਚਾਬੀ ਨਾਲ ਇੱਕ ਟੈਸਟ ਸੰਦੇਸ਼ ‘ਤੇ ਡਿਜੀਟਲ ਦਸਤਖਤ ਕਰਕੇ ਸਾਬਤ ਕਰ ਦਿੱਤਾ ਕਿ ਅੱਠੇ ਚਾਬੀਆਂ ਉਸਦੇ ਕੰਟਰੋਲ ਵਿੱਚ ਹਨ। ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਮਾਹਿਰ ਸਕਾਟ ਹੈਲਮ ਨੇ ਪਬਲਿਕ ਸਰਟੀਫਿਕੇਟਾਂ ਤੋਂ ਸਾਰੀਆਂ ਅੱਠ ਚਾਬੀਆਂ ਇਕ ਸਕਿੰਟ ਤੋਂ ਵੀ ਘੱਟ ਸਮੇਂ ਵਿੱਚ ਕੱਢ ਲਈਆਂ। ਇੱਕ ਹੋਰ ਖੋਜਕਰਤਾ Flüpke ਨੇ ਇੱਕ ਪ੍ਰਾਈਵੇਟ ਚਾਬੀ ਗਿਟਹਬ ‘ਤੇ ਪਬਲਿਸ਼ ਕਰ ਦਿੱਤੀ — ਉਸਦੀ ਕੀਮਤ ਸਿਰਫ਼ “4” ਸੀ, ਜਿਸਦੀ ਬਲੀਪਿੰਗ ਕੰਪਿਊਟਰ ਨੇ ਸੁਤੰਤਰ ਤੌਰ ‘ਤੇ ਪੁਸ਼ਟੀ ਕੀਤੀ। ਆਮ ਤੌਰ ‘ਤੇ P-384 ਕਰਵ ਦੀ ਪ੍ਰਾਈਵੇਟ ਚਾਬੀ 384-ਬਿਟ ਦੀ ਬੇਤਰਤੀਬ ਸੰਖਿਆ ਹੁੰਦੀ ਹੈ, ਪਰ ਇਨ੍ਹਾਂ ਚਾਬੀਆਂ ਦੀਆਂ ਕੀਮਤਾਂ 4, 56, 66, 115, 155, 156, 230 ਅਤੇ 237 ਸਨ — ਭਾਵ ਸਿਰਫ਼ 3 ਤੋਂ 8 ਬਿਟ ਦੀ ਸੁਰੱਖਿਆ।

ਇਹ ਚਾਬੀਆਂ ਅਪ੍ਰੈਲ 2025 ਵਿੱਚ ਕੰਪਨੀ ਦੇ “ਕੀ ਜਨਰੇਸ਼ਨ ਸੈਰਮਨੀ” ਦੌਰਾਨ ਬਣੀਆਂ ਸਨ। eMudhra ਨੇ ਮੋਜ਼ੀਲਾ ਨੂੰ ਦਿੱਤੇ ਜਵਾਬ ਵਿੱਚ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਹੋਈ ਗਲਤੀ ਨੂੰ ਜ਼ਿੰਮੇਵਾਰ ਠਹਿਰਾਇਆ — ਉਸਦੇ ਅਨੁਸਾਰ ਗਲਤੀ ਨਾਲ ਕਮਜ਼ੋਰ ਚਾਬੀਆਂ ਦਾ ਦੂਜਾ ਸੈੱਟ ਬਣ ਗਿਆ ਸੀ ਅਤੇ ਮਿਲਦੇ-ਜੁਲਦੇ ਲੇਬਲਾਂ ਕਾਰਨ ਗਲਤ ਚਾਬੀਆਂ ਹੀ ਸਰਟੀਫਿਕੇਟਾਂ ‘ਤੇ ਦਸਤਖਤ ਲਈ ਚੁਣ ਲਈਆਂ ਗਈਆਂ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਛੇ ਸਰਟੀਫਿਕੇਟ TLS ਵੈੱਬਸਾਈਟ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨ ਦੇ ਸਮਰੱਥ ਸਨ (ਡੋਮੇਨ, ਸੰਗਠਨ ਅਤੇ ਐਕਸਟੈਂਡਡ ਵੈਲੀਡੇਸ਼ਨ — eMudhra BV ਨੈਦਰਲੈਂਡਜ਼ ਅਤੇ eMudhra Inc ਅਮਰੀਕਾ ਦੇ G3B/G3C ਸਰਟੀਫਿਕੇਟ), ਜਦੋਂ ਕਿ ਦੋ ਕੋਡ ਸਾਈਨਿੰਗ ਲਈ ਸਨ। ਕੁਝ ਸਰਟੀਫਿਕੇਟ Sectigo ਤੋਂ ਕਰਾਸ-ਸਾਈਨ ਵੀ ਕਰਵਾਏ ਗਏ ਸਨ।

ਖੁਲਾਸੇ ਤੋਂ ਬਾਅਦ eMudhra ਨੇ ਅੱਠੇ ਇੰਟਰਮੀਡੀਏਟ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰ ਦਿੱਤੇ ਅਤੇ ਆਪਣੇ G3 ਰੂਟ ਹੇਠ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨੇ ਬੰਦ ਕਰ ਦਿੱਤੇ। ਕੰਪਨੀ ਦਾ ਦਾਅਵਾ ਹੈ ਕਿ ਉਸਦਾ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਸੁਰੱਖਿਅਤ ਰਿਹਾ, ਕੋਈ ਡਾਟਾ ਚੋਰੀ ਨਹੀਂ ਹੋਇਆ, ਅੱਠ ਵਿੱਚੋਂ ਸੱਤ ਸਰਟੀਫਿਕੇਟ ਕਦੇ ਪ੍ਰੋਡਕਸ਼ਨ ਵਿੱਚ ਲੱਗੇ ਹੀ ਨਹੀਂ, ਅਤੇ ਜੋ ਇਕ ਲੱਗਾ ਉਸਨੇ ਕਦੇ ਵੀ ਗਾਹਕਾਂ ਲਈ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਨਹੀਂ ਕੀਤਾ। ਸਰਟੀਫਿਕੇਟ ਪਾਰਦਰਸ਼ਤਾ ਲਾਗਾਂ ਵਿੱਚ ਵੀ ਇਨ੍ਹਾਂ ਤੋਂ ਜਾਰੀ ਕੋਈ ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ ਨਹੀਂ ਮਿਲਿਆ ਹੈ।

ਬਰਾਊਜ਼ਰ ਅਤੇ ਪਲੇਟਫਾਰਮ ਕੰਪਨੀਆਂ ਨੇ ਤੁਰੰਤ ਕਾਰਵਾਈ ਕੀਤੀ — ਮੋਜ਼ੀਲਾ ਨੂੰ ਰਿਪੋਰਟ ਮਿਲਣ ਦੇ ਕਰੀਬ ਤਿੰਨ ਘੰਟਿਆਂ ਵਿੱਚ ਫਾਇਰਫਾਕਸ ਵਿੱਚ ਬਲਾਕ ਲੱਗ ਗਿਆ, ਗੂਗਲ ਨੇ ਉਸੇ ਦਿਨ ਕ੍ਰੋਮ ਵਿੱਚ ਪਾਬੰਦੀ ਲਗਾਈ, ਜਦੋਂ ਕਿ ਐਪਲ ਨੇ 19 ਅਕਤੂਬਰ ਅਤੇ ਮਾਈਕ੍ਰੋਸਾਫ਼ਟ ਨੇ 20 ਅਕਤੂਬਰ ਨੂੰ ਪਾਬੰਦੀ ਲਗਾਈ। ਕ੍ਰੋਮ 27 ਅਕਤੂਬਰ 2026 ਨੂੰ ਆਪਣੇ ਰੂਟ ਸਟੋਰ ਤੋਂ emSign ECC Root CA – G3 ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਹਟਾ ਦੇਵੇਗਾ। Go ਨੇ ਅਰਜੈਂਟ ਅਪਡੇਟ 1.27.3 ਅਤੇ 1.26.10 ਜਾਰੀ ਕੀਤੇ ਹਨ, ਅਤੇ certifi, NSS ਤੇ webpki-roots ਵਿੱਚ ਵੀ ਪੈਚ ਆ ਗਏ ਹਨ।

ਮਾਹਿਰਾਂ ਦੀ ਚੇਤਾਵਨੀ ਹੈ ਕਿ ਅਸਲ ਖਤਰਾ ਬਰਾਊਜ਼ਰ ਤੋਂ ਬਾਹਰ ਹੈ — curl, Python, Node.js, Go ਅਤੇ Java ਜਿਹੇ ਕਈ ਟੂਲ ਅਤੇ ਐਂਬੈੱਡਡ ਡਿਵਾਈਸ ਰੱਦ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕਰਦੇ, ਇਸ ਲਈ ਉਹ ਉਦੋਂ ਤੱਕ ਖਤਰੇ ਵਿੱਚ ਰਹਿਣਗੇ ਜਦੋਂ ਤੱਕ ਉਨ੍ਹਾਂ ਦੇ ਟਰੱਸਟ ਬੰਡਲ ਜਾਂ ਸਾਫਟਵੇਅਰ ਅਪਡੇਟ ਨਹੀਂ ਹੋ ਜਾਂਦੇ। ਹੈਲਮ ਦੇ ਟੈਸਟਾਂ ਵਿੱਚ ਇਨ੍ਹਾਂ ਟੂਲਾਂ ਨੇ Stripe ਦੇ API ਲਈ ਬਣਾਇਆ ਜਾਅਲੀ ਸਰਟੀਫਿਕੇਟ ਵੀ ਸਵੀਕਾਰ ਕਰ ਲਿਆ ਸੀ। ਵੈੱਬਸਾਈਟ ਚਲਾਉਣ ਵਾਲਿਆਂ ਨੂੰ ਆਪਣੇ ਸਰਟੀਫਿਕੇਟ ਚੈੱਕ ਕਰਕੇ 27 ਅਕਤੂਬਰ ਤੋਂ ਪਹਿਲਾਂ ਬਦਲ ਲੈਣ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਗਈ ਹੈ।

ਮੁੱਖ ਗੱਲਾਂ

• ਭਾਰਤੀ CA eMudhra ਦੀਆਂ 8 ਇੰਟਰਮੀਡੀਏਟ CA ਚਾਬੀਆਂ ਕਮਜ਼ੋਰ ਨਿਕਲੀਆਂ; ਇੱਕ ਚਾਬੀ ਦੀ ਕੀਮਤ ਸਿਰਫ਼ “4” ਸੀ
• ਖੋਜਕਰਤਾ “Wayne” ਨੇ 17 ਅਕਤੂਬਰ ਨੂੰ ਖੁਲਾਸਾ ਕੀਤਾ; ਸਕਾਟ ਹੈਲਮ ਨੇ ਸਾਰੀਆਂ ਚਾਬੀਆਂ ਇਕ ਸਕਿੰਟ ਵਿੱਚ ਕੱਢ ਲਈਆਂ
• ਚਾਬੀਆਂ ਅਪ੍ਰੈਲ 2025 ਵਿੱਚ ਸਕ੍ਰਿਪਟ ਗਲਤੀ ਨਾਲ ਬਣੀਆਂ; eMudhra ਨੇ ਅੱਠੇ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰ ਦਿੱਤੇ
• ਕ੍ਰੋਮ, ਫਾਇਰਫਾਕਸ, ਐਪਲ ਤੇ ਮਾਈਕ੍ਰੋਸਾਫ਼ਟ ਨੇ ਬਲਾਕ ਲਗਾਏ; ਕ੍ਰੋਮ 27 ਅਕਤੂਬਰ ਨੂੰ G3 ਰੂਟ ਹਟਾਏਗਾ
• ਬਰਾਊਜ਼ਰ ਤੋਂ ਬਾਹਰਲੇ ਟੂਲ (curl, Python, Node, Java) ਅਜੇ ਵੀ ਖਤਰੇ ਵਿੱਚ; ਸਾਈਟ ਮਾਲਕਾਂ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਬਦਲਣ ਦੀ ਸਲਾਹ